圖片來源: 

HP

HP本周修補了位於BIOS(UEFI韌體)中的兩個安全漏洞,將允許駭客執行任意程式,而它們影響了HP旗下的逾200款裝置,從筆電、桌上型電腦、零售端點銷售系統(POS)、工作站到Thin Client等。

HP所修補的安全漏洞為CVE-2021-3808與CVE-2021-3809,它們的CVSS風險評分皆高達8.8,HP僅說這兩個漏洞可能造成任意程式執行,並未說明漏洞的細節。

然而,在去年11月就發現相關漏洞的安全研究人員Nicholas Starke指出,該漏洞允許具備核心權限的駭客擴張權限至系統管理模式(System Management Mode,SMM),取得SMM模式代表駭客可完整掌控系統以執行其它攻擊。

駭客可藉由搜尋實體記憶體中的EFI_BOOT_SERVICES表格,判斷LocateProtocol功能的記憶體位置,並於實體記憶體中覆蓋它,便能指向駭客所控制的程式。


熱門新聞

Advertisement