【安全圈】UEFI固件发现23个高危安全漏洞

admin 2022年2月12日02:43:40评论91 views字数 1208阅读4分1秒阅读模式
【安全圈】UEFI固件发现23个高危安全漏洞

关键词

漏洞


UEFI(Unified Extensible Firmware Interface,统一的可扩展固件接口)是适用于电脑的标准固件接口,旨在提高软件互操作性和解决 BIOS 的限制。这种接口用于操作系统自动从预启动的操作环境,加载到一种操作系统上,从而使开机程序化繁为简,节省时间。UEFI是在产品制造过程中安装的,也是计算机启动后运行的第一个程序。


安全研究人员在不同厂商的UEFI固件实现中发现了23个高危安全漏洞,漏洞不仅仅影响某个单一的厂商,所有在UEFI固件软件中采用IBV代码的厂商都受到相关漏洞的影响,其中包括Fujitsu、Siemens、Dell、HP、 HPE、联想、微软、Intel和Bull Atos。


这23个安全漏洞包括权限提升漏洞、SMM内存破坏漏洞和DXE内存破坏漏洞,其中:


权限提升漏洞包括CVE-2020-5953、CVE-2021-41839、CVE-2021-41841、CVE-2021-41840、CVE-2020-27339、CVE-2021-42060、CVE-2021-42113、CVE-2021-43522、CVE-2022-24069、CVE-2021-43615;


SMM内存破坏漏洞包括CVE-2021-41837、CVE-2021-41838、CVE-2021-33627、CVE-2021-45971、CVE-2021-33626、CVE-2021-45970、CVE-2021-45969、CVE-2022-24030、CVE-2021-42554、CVE-2021-33625、CVE-2022-24031和CVE-2021-43323。


DXE内存破坏漏洞包括CVE-2021-42059漏洞。


漏洞CVSS评分在7.5分到8.2分之间,攻击者利用这些漏洞可以实现SMM权限的代码执行。作为漏洞利用链的一部分,这些漏洞可以作为绕过安全特征和实现驻留的第二阶段。有目标系统特权用户访问权限的攻击者可以利用UEFI漏洞利用来安装恶意软件,此外还可以绕过终端安全解决方案、安全启动、基于虚拟化的安全方案等。


【安全圈】UEFI固件发现23个高危安全漏洞


Binarly研究人员称,由于可信平台模块的不足,所有漏洞利用无法被固件完整性监控系统发现。由于固件运行时的可见性设计限制导致远程设备健康管理解决方案也无法检测受影响的系统。


   END  

阅读推荐

【安全圈】UEFI固件发现23个高危安全漏洞【安全圈】北京一科技公司利用爬虫技术窃取2.1亿条简历数据 被告人被判处有期徒刑7年

【安全圈】UEFI固件发现23个高危安全漏洞【安全圈】马斯克同名山寨币暴跌近100%,投资者遭遇“拉地毯”骗局

【安全圈】UEFI固件发现23个高危安全漏洞【安全圈】克隆版海盗湾网站正对数百万用户传播恶意广告

【安全圈】UEFI固件发现23个高危安全漏洞【安全圈】运动品牌Puma公司遭受由 Kronos 勒索软件攻击导致的数据泄露


【安全圈】UEFI固件发现23个高危安全漏洞
【安全圈】UEFI固件发现23个高危安全漏洞

安全圈

【安全圈】UEFI固件发现23个高危安全漏洞

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握!

【安全圈】UEFI固件发现23个高危安全漏洞

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧!

【安全圈】UEFI固件发现23个高危安全漏洞


原文始发于微信公众号(安全圈):【安全圈】UEFI固件发现23个高危安全漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年2月12日02:43:40
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【安全圈】UEFI固件发现23个高危安全漏洞https://cn-sec.com/archives/774842.html

发表评论

匿名网友 填写信息