Một số lỗ hổng firmware mức cao chưa được vá trong các thiết bị HP dành cho doanh nghiệp

Một số lỗ hổng bảo mật firmware trong máy tính xách tay cao cấp dành cho doanh nghiệp của HP vẫn chưa được vá trong một số thiết bị sau vài tháng kể từ khi chúng được tiết lộ công khai.

Binarly, bên đầu tiên tiết lộ chi tiết về các lỗ hổng tại hội nghị Black Hat USA vào giữa tháng 8 năm 2022, cho biết các lỗ hổng "không thể được phát hiện bởi các hệ thống giám sát tính toàn vẹn firmware do các hạn chế của tiêu chuẩn Trusted Platform Module".

Các lỗ hổng firmware có thể gây ra tác động nghiêm trọng vì chúng có thể bị kẻ xấu lạm dụng để duy trì truy cập trên các thiết bị bị xâm phạm ngay cả khi thiết bị được khởi động lại và vượt qua các biện pháp bảo mật mức hệ điều hành.

Các lỗ hổng mức cao này được xác định ảnh hưởng đến thiết bị HP EliteBook, liên quan đến một trường hợp hư hỏng bộ nhớ trong System Management Mode (SMM) của firmware, có thể cho phép thực thi mã tùy ý với các đặc quyền cao nhất, bao gồm:

- CVE-2022-23930 (Điểm CVSS: 8,2): Lỗ hổng Stack-based buffer overflow

- CVE-2022-31640 (Điểm CVSS: 7,5) và CVE-2022-31641 (Điểm CVSS: 7,5): Lỗ hổng thiếu kiểm tra, xác thực dữ liệu đầu vào

- CVE-2022-31644 (Điểm CVSS: 7,5), CVE-2022-31645 (Điểm CVSS: 8,2) và CVE-2022-31646 (Điểm CVSS: 8,2): Lỗ hổng Out-of-bounds write

Ba lỗ hổng đầu trong danh sách này đã được thông báo cho HP vào tháng 7 năm 2021, ba lỗ hổng còn lại được báo cáo vào tháng 4 năm nay.

Đáng chú ý, CVE-2022-23930 cũng là một trong 16 lỗ hổng bảo mật đã được đánh dấu ảnh hưởng đến một số thiết bị dành cho doanh nghiệp của HP vào tháng 2 này.

SMM, hay "Ring -2", là một chế độ đặc biệt được firmware (UEFI) sử dụng để xử lý các chức năng trên toàn hệ thống như quản lý nguồn, ngắt phần cứng hoặc quản lý code OEM.

Do đó, những lỗ hổng được xác định trong SMM có thể cho phép kẻ tấn công lợi dụng để thực hiện các hoạt động độc hại với các quyền của hệ điều hành.

Mặc dù HP đã đưa ra biện pháp giảm nhẹ để giải quyết các lỗ hổng trong tháng 3 và tháng 8, nhưng nhà cung cấp vẫn chưa đưa ra các bản vá cho tất cả các mẫu thiết bị bị ảnh hưởng, dẫn đến nguy cơ khách hàng có thể bị tấn công mạng.

Binarly cho biết: "Do sự phức tạp của chuỗi cung ứng firmware, có những lỗ hổng rất khó để vá vì nó liên quan đến các vấn đề nằm ngoài tầm kiểm soát của nhà cung cấp thiết bị."

Tiết lộ này được đưa ra khi HP phát hành các bản vá cho lỗ hổng leo thang đặc quyền (CVE-2022-38395, điểm CVSS: 8,2) trong phần mềm khắc phục sự cố Support Assistant của họ vào tuần trước.

Nguồn: thehackernews.com.