Binarly güvenlik araştırmacılarının güvenlik açıklarını HP’ye açıklamalarının ve ardından geçen ay Black Hat güvenlik konferansında bunları tartışmasının üzerinden bir yıldan fazla bir süre geçmesine rağmen, HP kurumsal bilgisayarlarındaki çok sayıda yüksek önem derecesine sahip bellenim hatalarına yama yapılmadı.
Bu, 7,5 ile 8,2 arasında değişen önem derecesine sahip güvenlik açıklarının, veri çalmaktan makineyi tamamen kapatmaya kadar çeşitli hain eylemler gerçekleştirmeye çalışan kötü niyetli kişiler tarafından kullanılmaya devam edebileceği anlamına gelir. Ve böcekler bir Black Hat konuşmasının konusu olduğu için, olası siber suçluların ellerinde bir “nasıl yapılır” kiti var.
Bir sözcüye göre, HP “Binarly tarafından bildirilen potansiyel SMM güvenlik açıklarının farkında”. Kayıt hatalardan birini ele alan Mart ayındaki bir güvenlik uyarısına (CVE-2022-23930).
Sözcü, e-postayla gönderilen bir bildiride, “Güvenlik, HP için her zaman en önemli önceliktir ve Binarly’nin HP ürünlerini daha güvenli hale getirmeye yönelik katkılarını takdir ediyoruz” dedi. Güvenlik açıklarına karşı korunmaya yardımcı olmak için tüm müşterilerimizi sistemlerini en son yazılımlar, sürücüler ve bellenimle güncel tutmaya teşvik ediyoruz.”
Ancak, birden fazla iş dizüstü bilgisayarı, masaüstü bilgisayar, perakende satış noktası sistemi ve iş istasyonunda üç hata (CVE-2022-31644, CVE-2022-31645 ve CVE-2022-31646) için yamalar hala “beklemede” olarak listelendi. ” Ağustos güvenlik bültenine göre, CVE-2022-31640 ve CVE-2022-31641 9 Eylül itibariyle bazı iş istasyonu modellerinde ve ince istemci bilgisayarlarında yama uygulanmamış halde kaldı.
HP yanıt vermedi Kayıt‘in bu cihazlar için ne zaman düzeltmeler yayınlayacağına ilişkin soruları.
Binarly CEO’su ve kurucu ortağı Alex Matrosov, ekibinin geçen ay bir Black Hat konuşmasında hataları tartışmadan ve geçen hafta onlar hakkında bir blog yayınlamadan önce Temmuz 2021 ve Nisan 2022’de güvenlik açıklarını HP’ye açıkladığını söyledi.
“8 Eylül’deki blogun ana nedeni, müşterilerimizin kurumsal ortamlarında tamamen yamalı HP cihazlarında birçok sorunun tetiklendiğini gördüğümüz için ek farkındalık yaratmaktı” dedi. Kayıt.
Blogda, Binarly güvenlik araştırmacıları, Sistem Yönetim Modu (SMM) bellek bozulması sorunları nedeniyle altı rastgele kod yürütme güvenlik açığını ayrıntılandırıyor. Spesifik olarak, bunlar şunları içerir:
CVE-2022-23930, ayrıcalıkların SMM’ye yükseltilmesine yol açan yığın tabanlı bir arabellek taşması güvenlik açığı. CVSS puanı: 8.2.
CVE-2022-31644, İletişim Arabelleğinde hatalı giriş doğrulaması nedeniyle sınır dışı yazma. Bu, bir saldırganın Güvenli Önyükleme ve diğer güvenlik mekanizmalarını atlamasına ve kalıcılık için BIOS’a bir üretici yazılımı arka kapısı yüklemesine izin verebilir. CVSS puanı: 7.5.
CVE-2022-31645, BIOS’ta bir arka kapıya da yol açabilecek başka bir sınır dışı yazma güvenlik açığı. CVSS puanı: 8.2.
CVE-2022-31646, ayrıcalık yükseltmeye yol açan doğrudan bellek işleme API işlevine dayalı bir sınır dışı yazma güvenlik açığı. CVSS puanı: 8.2.
CVE-2022-31640, bir saldırganın SMM’ye erişmesine ve rasgele kod yürütmesine izin verebilecek bir belirtme çizgisi güvenlik açığı. CVSS puanı: 7.5.
CVE-2022-31641, rastgele kod yürütülmesine yol açabilecek başka bir SMM belirtme çizgisi güvenlik açığı. CVSS puanı: 7.5.
Binarly araştırmacılarının HP’nin kusurları ne zaman düzeltmeyi planladığına dair bir fikri olup olmadığı sorulduğunda Matrosov, satıcıdan haber almadığını söyledi.
“10 Ağustos’taki koordineli açıklama zaman çizelgesine göre zaten yama yapılmalı” diye ekledi.
Yine de, bellenim deliklerinin tam olarak düzeltilmesinin özellikle zor olabileceğini kaydetti, çünkü bunlar genellikle yalnızca bir satıcıyı değil, UEFI bellenim yazılımında Bağımsız BIOS Geliştiricileri (IBV) kodunu kullanan herkesi etkiliyor.
Matrosov, “Cihaz satıcıları bile tedarik zinciri karmaşıklığı nedeniyle bazen etkilenen tüm ürünleri tanımlamakta güçlük çekiyor” dedi.
Şirketlerin “bu tekrarlanabilir arızalardan kurtulmalarına” yardımcı olmak için, şirket Binarly FwHunt’u yarattı ve açık kaynaklı ekledi. Ayrıca, güvenlik açıkları için UEFI ürün yazılımı görüntülerini tarayan ücretsiz bir hizmet sağlar. ®