Wie das Sicherheitsunternehmen Eclypsium berichtet, sind 129 Modelle von PCs und Notebooks der Firma Dell von mehreren Sicherheitslücken betroffen, die Angriffe über die BIOS-Funktion BIOSConnect erlauben. Die Lücken erlauben die Ausführung beliebigen Codes auf der Ebene von BIOS/UEFI. Die vier Schwachstellen haben einen CVSS-Score von 8.3, der der Stufe high entspricht.
Angriff auf BIOS/UEFI-Ebene
Die Lücken ermöglichen es einem privilegierten Netzwerkangreifer, sich als Dell.com auszugeben und beliebige Codeausführung auf der BIOS/UEFI-Ebene des betroffenen Geräts zu ermöglichen. Ein solcher Angriff würde es Angreifern erlauben, den Boot-Prozess des Geräts zu kontrollieren und das Betriebssystem und die Sicherheitskontrollen auf höherer Ebene zu unterlaufen. Das Problem betrifft 129 Dell-Modelle von Laptops, Desktops und Tablets, einschließlich Geräten, die durch Secure Boot und Dell Secured-Core-PCs geschützt sind.
Lücken in BIOSConnect
BIOSConnect ist eine Funktion von SupportAssist, mit der Benutzer eine Betriebssystemwiederherstellung aus der Ferne durchführen oder die Firmware auf dem Gerät aktualisieren können. In beiden Fällen ermöglicht BIOSConnect dem BIOS des Systems, sich über das Internet mit den Backend-Services von Dell in Verbindung zu setzen und dann den Aktualisierungs- oder Wiederherstellungsprozess zu koordinieren.
Die Sicherheitsforscher bei Eclypsium haben vier Lücken entdeckt, die als CVE-2021-21571, CVE-2021-21572, CVE-2021-21573 und CVE-2021-21574 katalogisiert wurden. Die letzten beiden Lücken konnten bereits Ende Mai serverseitig geschlossen werden, ohne dass Handlungsbedarf für die Anwender besteht. Bei CVE-2021-21571 handelt es sich um eine Sicherheitslücke bei der Zertifikatsvalidierung des Dell UEFI BIOS HTTPS-Stacks, der von der Dell BIOSConnect-Funktion und der Dell HTTPS-Boot-Funktion genutzt wird. CVE-2021-21572 beschreibt einen Pufferüberlauf bei BIOSConnect. Ein authentifizierter Angreifer mit lokalem Zugriff auf das System kann diese Schwachstellen ausnutzen, um beliebigen Code auszuführen und UEFI-Beschränkungen zu umgehen.
Update zwingend notwendig
Die beiden noch offenen Lücken können nur über BIOS/UEFI-Updates geschlossen werden, die Dell am 24. Juni bereitgestellt hat. Dabei soll auf keinen Fall die BIOSConnect-Funktion genutzt werden. Stattdessen ist es ratsam, die ausführbare BIOS-Datei des jeweiligen Betriebssystems zu benutzen, nachdem die Hashes manuell mit den von Dell veröffentlichten Hashes verglichen wurden. Linux-Anwender, deren Dell-Geräte von dem Firmware-Aktualisierungsdienst fwupd unterstützt werden, sollten diese für das Update nutzen, indem sie zeitnah den Befehl sudo fwupdmgr update ausführen.
