戴尔 BIOS 软件可供远程利用，影响 30 万台笔记本电脑

安全研究 Eclypsium 发现戴尔的远程 BIOS 更新软件对中间人攻击开放，允许攻击者远程执行多达 129 种不同戴尔笔记本电脑型号的 BIOS 中的代码。

“这种攻击将使攻击者能够控制设备的启动过程并破坏操作系统和更高层的安全控制，”Eclypsium 研究人员解释说。

Eclypsium 表示，多达 30 万台设备受到影响，其中包括消费者和商务笔记本电脑、台式机和平板电脑。

问题在于 BIOSConnect 功能，它是戴尔 SupportAssistant 的一部分。 大多数戴尔 Windows 设备都预装了此功能。

该服务使用从 BIOS 到戴尔的不安全 TLS 连接，并具有三个溢出漏洞，允许攻击者向设备提供他们选择的任何软件。

Eclypsium 说，其中两个溢出安全漏洞“影响操作系统恢复过程，而另一个影响固件更新过程”。 “这三个漏洞都是独立的，每个漏洞都可能导致 BIOS 中的任意代码执行。”

研究人员表示，所有设备都需要更新其 BIOS，并建议不要使用戴尔的 BIOSConnect 功能来执行此操作。

阅读  Eclypsium 的报告在这里 以及受影响设备型号的完整列表 戴尔的咨询.

通过 BleepingComputer