据thehackernews消息，戴尔BIOS有五个新的安全漏洞，如果被黑客利用，可能会导致在易受攻击的系统上执行代码。这与最近的情况有关Insyde Software 的InsydeH2O和 HP 可扩展固件接口 ( )UEFI ) 中发现的固件漏洞相似。
五个高危漏洞的编号是 CVE-2022-24415、CVE-2022-24416、CVE-2022-24419、CVE-2022-24420 和 CVE-2022-24421，在 CVSS 评分系统被评为 8.2 分(满分 10 分)。
发现后三个漏洞的固件安全公司 Binarly因为可信平台模块 (TPM) 由于测量限制，固件完整性监控系统无法检测到所有发现的漏洞的积极使用。固件运行中可见性的设计限制使远程设备健康证明解决方案无法检测到受影响的系统。
所有缺陷都会影响固件系统管理模式 ( )SMM ) 不正确输入验证漏洞，有效允许当地身份验证攻击者通过系统管理中断 (SMI) 实现任何代码的执行。
系统管理模式是指x86 微控制器中的一种特殊 CPU 模式旨在处理电源管理、系统硬件控制、热监控等专有制造商开发的代码等系统范围内的功能。
请求其中一项操作时，在操作过程中会调用不可屏蔽的中断 (SMI)，它会执行 BIOS 安装的 SMM 代码。鉴于 SMM 代码在最高权限级别执行，对底层操作系统不可见，因此该方法允许攻击者部署持久性固件植入。
包括 Alienware、Inspiron、Vostro 系列和 Edge Gateway 3000 系列中的许多戴尔产品都受到了影响，因此戴尔也强烈建议用户尽快升级BIOS。
Binarly 研究人员说：这些故障是代码库的复杂性或对安全性关注较少的直接后果，仍然广泛部署在该领域。在许多情况下，相同的漏洞可以通过多次迭代修复，但攻击表面的复杂性仍然留下了恶意使用的空白。
参考来源：https://thehackernews.com/2022/03/new-dell-bios-bugs-affect-millions-of.html