发现和修复了Dell固件更新驱动程序中的严重漏洞

昨天，Infosec Research Firment Sentinellabs揭示了戴尔＆＃39; S固件更新者，Dbutil 2.3的12岁的缺陷。默认情况下，默认情况下安装了易受攻击的固件更新程序。自2009年以来的数亿戴尔系统。

在DBUTIL_2_3.SYS模块中发现并报告了Dell LURK的五个高度严重性缺陷，它们在单个CVE跟踪号码，CVE-2021-21551中已经舍入。有两个内存损坏问题和两个缺少的输入验证问题，所有这些都可以导致本地权限升级和一个代码逻辑问题，这可能导致拒绝服务。

滥用这些漏洞的假设攻击者可以升级另一个进程或旁路安全控件的特权来直接写入系统存储。这提供了多个路由到本地内核级访问的最终目标 - 甚至高于管理员或＆＃34; root＆＃34;访问整个系统。

这不是远程代码执行漏洞 - 坐在世界各地甚至咖啡店的攻击者无法直接使用它来损害您的系统。主要风险是，通过其他漏洞获得一个未经特权的shell的攻击者可以使用像本地的本地特权升级漏洞，以绕过安全控件。

由于Sentinellabs于2020年12月通知戴尔以来，该公司提供了缺陷和缓解指示的文件，即现在落到＆＃34;删除该实用程序。＆＃34;还提供替换驱动程序，应在受影响的Dell系统上自动安装它。

Awesome博客文章（https://t.co/ilmbbn2oW5）在@sentinelone上on @sentinelone在戴尔驱动程序中的多个漏洞，@standa_t和@yarden_shafir首次找到2019年在@crowdstrike找到以及@kiquenissim over @ioactive，@kasifdekel后不久。

- Alex Ionescu（@aionescu）5月4日，2021年5月4日

Sentinellabs＆＃39; kasif dekel至少是第四个研究员，追随Crowdstrike＆＃39; S Satoshi Tanda和Yarden Shafir和Ioactive＆＃39; s entrique nissim。 它并不清楚为什么戴尔需要两年和三个单独的Infosec公司＆＃39; 报告修补问题 - 但是在上面的解释群体＆＃39; S Alex Ionescu上面，最重要的是戴尔＆＃39; S用户最终将受到保护。