DSA-2021-106: Aktualizacja zabezpieczeń platformy klienckiej firmy Dell dla wielu luk w funkcjach BIOSConnect i HTTPS Boot jako część klienckiego systemu BIOS firmy Dell

Zastrzeżony kod CVE	Opis	Ocena bazowa CVSS	Ciąg wektora CVSS
CVE-2021-21571	Stos https systemu BIOS UEFI firmy Dell, wykorzystywany przez funkcje Dell BIOSConnect i Dell HTTPS Boot, zawiera lukę w postaci nieprawidłowej weryfikacji certyfikatu. Zdalna nieuwierzytelniona osoba atakująca może wykorzystać tę lukę poprzez atak typu „person-in-the-middle”, który może prowadzić do odmowy usługi i manipulacji przy ładunku.	5.9	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H
CVE-2021-21572, CVE-2021-21573, CVE-2021-21574	Funkcja BIOSConnect firmy Dell zawiera lukę przepełnienia buforu pamięci. Uwierzytelniony złośliwy użytkownik admin z lokalnym dostępem do systemu może potencjalnie wykorzystać tę lukę do wykonania dowolnego kodu i ominięcia ograniczeń UEFI.	7.2	CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H

Opis funkcji Dell BIOSConnect i HTTPS Boot:

• Dell BIOSConnect jest rozwiązaniem Dell przed uruchomieniem, służącym do aktualizacji systemu BIOS i przywracania systemu operacyjnego przy użyciu aplikacji SupportAssist OS Recovery na platformach klienckich firmy Dell. Uwaga: BIOSConnect wymaga od użytkownika fizycznego zainicjowania tej funkcji. Problem dotyczy tylko podzestawu platform z funkcją BIOSConnect. Tabela pod sekcją Informacje dodatkowe zawiera zagrożone platformy.
• Funkcja Dell HTTPS Boot to rozszerzenie specyfikacji HTTP Boot UEFI do uruchamiania z serwera HTTP(S). Uwaga: ta funkcja nie jest domyślnie skonfigurowana i wymaga fizycznej obecności użytkownika z lokalnymi prawami administratora systemu operacyjnego do konfigurowania. Ponadto, w przypadku stosowania z sieciami bezprzewodowymi, fizycznie obecny użytkownik musi zainicjować tę funkcję. Nie wszystkie platformy zawierają funkcję HTTPS Boot. Tabela pod sekcją Informacje dodatkowe zawiera listę zagrożonych platform.

Powyższe luki zostały zgłoszone jako łańcuch luk. Łączny wynik łańcucha luk to: 8.3 Wysoki CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H.

Wykorzystanie łańcucha wymaga wykonania dodatkowych czynności:

• W celu wykorzystania łańcucha luk w funkcji BIOSConnect złośliwa osoba musi osobno wykonać dodatkowe czynności przed udanym wykorzystaniem zagrożenia, w tym: naruszenie sieci użytkownika, uzyskanie certyfikatu zaufanego przez jedną z wbudowanych instytucji certyfikujących stosu https systemu BIOS UEFI firmy Dell i poczekanie na użytkownika fizycznie obecnego w systemie, aby użyć funkcji BIOSConnect.
• W celu wykorzystania łańcucha luk w funkcji HTTPS Boot złośliwa osoba musi osobno wykonać dodatkowe czynności przed udanym wykorzystaniem zagrożenia, w tym: naruszenie sieci użytkownika, uzyskanie certyfikatu zaufanego przez jedną z wbudowanych instytucji certyfikujących stosu https systemu BIOS UEFI firmy Dell i poczekanie na użytkownika fizycznie obecnego w systemie, aby zmienić kolejność rozruchu i użyć funkcji HTTPS Boot.

Poza zastosowaniem poniższych działań naprawczych klienci mogą zabezpieczyć się dodatkowo poprzez korzystanie z zabezpieczonych sieci i zapobieganie nieautoryzowanemu dostępowi lokalnemu i fizycznemu do urządzeń. Klienci powinni także włączyć funkcje zabezpieczeń platformy, takie jak Secure Boot (domyślnie włączone dla platform Dell z systemem Windows) i hasło administratora systemu BIOS w celu dodatkowej ochrony.

Uwaga: jeśli opcja Secure Boot jest wyłączona, może to mieć wpływ na skalę potencjalnego zagrożenia związanego z luką w zabezpieczeniach CVE-2021-21571.

CVE-2021-21573 i CVE-2021-21574 zostały skorygowane w komponentach związanych z BIOSConnect na serwerach zaplecza firmy Dell 28 maja 2021 r. i nie wymagają dodatkowych działań od klienta.

CVE-2021-21571 i CVE-2021-21572 wymagają aktualizacji systemu BIOS klienta firmy Dell w celu wyeliminowania luk w zabezpieczeniach. W tabeli pod sekcją Informacje dodatkowe można znaleźć wersję naprawionego klienckiego systemu BIOS firmy Dell do zastosowania we własnym systemie. Istnieje kilka sposobów aktualizacji klienckiego systemu BIOS firmy Dell. W przypadku korzystania z funkcji BIOSConnect do aktualizacji systemu BIOS firma Dell zaleca użycie innej metody aktualizacji systemu BIOS, takiego jak:

• Użycie jednego z rozwiązań powiadomień firmy Dell, aby otrzymywać powiadomienia i automatycznie pobierać dostępne aktualizacje systemu BIOS.
• Odwiedzenie strony Sterowniki i pliki do pobrania, aby uzyskać aktualizacje produktów, których dotyczy problem. Aby dowiedzieć się więcej, zapoznaj się z artykułem bazy wiedzy firmy Dell Aktualizacje systemu BIOS firmy Dell, a następnie pobierz aktualizację dla komputera firmy Dell.
• Aktualizowanie systemu BIOS z menu jednorazowego rozruchu pod klawiszem F12.

W przypadku, gdy nie można natychmiast zastosować aktualizacji systemu BIOS, firma Dell zapewnia rozwiązanie tymczasowe polegającego na wyłączeniu funkcji BIOSConnect i HTTPS Boot. Zapoznaj się z sekcją poniżej.