3000萬臺戴爾設備面臨遠程BIOS攻擊風險
近日，Eclypsium的安全研究人員發現，由于錯誤的更新機制，導致數千萬臺戴爾設備產生了四個嚴重安全漏洞，攻擊者幾乎能完全控制和持久化攻擊存在漏洞的目標設備。
研究人員表示，這一系列漏洞可以讓遠程攻擊者在戴爾設備的預啟動環境中執行任意代碼，全球大約3000萬個戴爾端點設備受到影響。
根據Eclypsium的分析，這些漏洞影響了129款受安全啟動保護的筆記本電腦、平板電腦和臺式機，其中包括企業和消費設備。安全啟動是一種安全標準，旨在確保設備僅使用其原始設備制造商(OEM)所信任的軟件進行啟動，以防止惡意接管。
Eclypsium的研究人員表示：“這些漏洞允許特權網絡攻擊者繞過安全啟動保護，控制設備的啟動過程，并破壞操作系統和更高層的安全控制。這些漏洞的CVSS得分為8.3(滿分10分)。”
具體而言，上述漏洞會影響Dell SupportAssist(大多數基于Windows的戴爾機器上預裝的技術支持解決方案)中的BIOSConnect功能。BIOSConnect用于執行遠程操作系統恢復或更新設備上的固件。
研究人員在分析中指出：“所有類型的技術供應商都越來越多地實施無線更新流程，以使他們的客戶能夠盡可能輕松地保持固件最新并從系統故障中恢復。雖然這是一個有價值的服務，但這些過程中的任何漏洞，例如我們在戴爾BIOSConnect中看到的漏洞，都會產生嚴重的后果。”
該報告指出，特定漏洞允許攻擊者遠程利用主機的UEFI固件并控制設備上的最高特權代碼。
報告總結道：“這種遠程可利用性和高權限的結合可能會使遠程更新功能成為未來攻擊者的誘人目標。”
1. 不安全的TLS連接：冒充戴爾
第一個漏洞(CVE-2021-21571)是可導致遠程代碼執行(RCE)鏈的開始。
當BIOSConnect嘗試連接到后端Dell HTTP服務器以執行遠程更新或恢復時，它會啟用系統的BIOS(用于在引導過程中執行硬件初始化的固件)通過Internet與Dell后端服務聯系。然后，再協調更新或恢復過程。
Eclypsium研究人員表示，問題在于用于將BIOS連接到后端服務器的TLS連接將會接受任何有效的通配符證書。因此，具有特權網絡權限的攻擊者可以攔截該連接，冒充戴爾并將攻擊者控制的內容發送回受害設備。
分析稱：“驗證dell.com證書的過程首先要從硬編碼服務器8.8.8.8檢索DNS記錄，然后建立到‘戴爾下載站點’的連接，但是，戴爾設備BIOS中的BIOSConnect功能中內置的任何證書頒發機構頒發的任何有效證書都將滿足安全連接條件。”
2. 允許任意代碼執行的溢出漏洞
一旦利用第一個“看門人”漏洞將惡意內容傳送回受害機器，攻擊者就可以選擇利用其他三個不同且溢出的漏洞(CVE-2021-21572、CVE-2021-21573、CVE-2021-21574)。研究人員說，這三個漏洞中的任何一個都可用于在目標設備上實施預啟動的RCE。
據Eclypsium稱，其中兩個漏洞會影響操作系統的恢復過程，而第三個漏洞則影響固件更新過程，該公司尚未發布進一步的技術細節。
研究人員表示，任何攻擊場景都需要攻擊者能夠重定向受害者的流量，例如通過中間機器(MITM)攻擊——這不是什么障礙。
報告稱：“中間機器攻擊對復雜的攻擊者來說是一個相對較低的門檻，ARP欺騙和DNS緩存中毒等技術已經廣為人知且易于自動化。此外，企業虛擬專用網和其他網絡設備已成為攻擊者的首要目標，這些設備中的缺陷可以讓攻擊者重定向流量。最后，在家工作的終端用戶越來越依賴SOHO網絡設備。漏洞在這些類型的消費級網絡設備中非常普遍，并已在惡意活動中被廣泛利用。”
鑒于成功入侵設備的BIOS將允許攻擊者長期駐留，同時控制設備的最高權限，因此進行攻擊前的此類基礎工作對于網絡犯罪分子來說是值得的。報告指出，這是因為他們將控制加載主機操作系統的過程，并且能夠禁用保護以保持不被發現。
Eclypsium研究人員說：“這種攻擊可以提供對設備幾乎無限的控制權，對攻擊者來說回報豐厚。”
3. 戴爾發布補丁
戴爾在其安全公告中宣布已經開始在所有受影響的系統上推出BIOS補丁，大多數更新定于周四(6月24日)進行，其他更新將在7月跟進。
根據Eclypsium的建議，用戶需要根據戴爾發布的哈希值手動檢查哈希值后，從操作系統運行BIOS更新可執行文件，而不是通過BIOSConnect來進行BIOS更新。
參考資料：https://www.dell.com/support/kbdoc/000188682
【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
