據thehackernews消息，戴爾BIOS存在五個新的安全漏洞，如果這些漏洞被黑客利用，可能會導致在易受攻擊的系統上執行代碼。這與最近在Insyde Software 的InsydeH2O和 HP 統一可擴展固件接口 ( UEFI ) 中發現的固件漏洞類似。

五個高危漏洞的編號分別是 CVE-2022-24415、CVE-2022-24416、CVE-2022-24419、CVE-2022-24420 和 CVE-2022-24421，在 CVSS 評分系統中被評為 8.2 分(滿分 10 分)。

發現后三個漏洞的固件安全公司 Binarly表示，“由于可信平臺模塊 (TPM) 測量的限制，固件完整性監控系統無法檢測到對所有已發現漏洞的主動利用。而固件運行時可見性的設計限制，讓遠程設備健康證明解決方案不會檢測到受影響的系統?！?/p>

所有缺陷都與影響固件系統管理模式 ( SMM ) 的不正確輸入驗證漏洞有關，有效地允許本地經過身份驗證的攻擊者利用系統管理中斷 (SMI) 來實現任意代碼執行。

系統管理模式是指x86 微控制器中的一種專用 CPU 模式，旨在處理系統范圍的功能，如電源管理、系統硬件控制、熱監控和其他專有制造商開發的代碼。

每當請求其中一項操作時，都會在運行時調用不可屏蔽中斷 (SMI)，它會執行 BIOS 安裝的 SMM 代碼。鑒于 SMM 代碼在最高權限級別執行并且對底層操作系統不可見，因此該方法讓攻擊者可以部署持久性固件植入。

包括 Alienware、Inspiron、Vostro 系列和 Edge Gateway 3000 系列在內的許多戴爾產品都受到了影響，因此戴爾也強烈建議用戶盡快升級其BIOS。

Binarly 研究人員表示，“這些故障是代碼庫的復雜性或對安全性關注較少遺留組件產生的直接后果，仍廣泛部署在該領域。在許多情況下，可以通過多次迭代修復相同的漏洞，但是攻擊面的復雜性仍為惡意利用留下了空白?！?/p>

參考來源：https://thehackernews.com/2022/03/new-dell-bios-bugs-affect-millions-of.html