科学研究工作人员在UEFI固件中看到23个高风险安全性漏洞。
UEFI(Unified Extensible Firmware Interface，统一的可拓展固件插口)是适用计算机的规范固件插口，致力于提升手机软件可扩展性和处理 BIOS 的限定。这类插口用以电脑操作系统全自动从预运行的使用自然环境，载入到一种电脑操作系统上，进而使启动程序流程由繁化简，省时省力。UEFI是在商品生产环节中安裝的，也是电子计算机运行后运作的第一个程序流程。
安全性科研工作人员在不一样厂家的UEFI固件完成中看到了23个高风险安全性漏洞，漏洞不仅危害某一单一的生产商，全部在UEFI固件手机软件中选用IBV编码的厂家都遭受有关漏洞的危害，主要包括Fujitsu、Siemens、Dell、HP、 HPE、想到、微软公司、Intel和Bull Atos。
这23个安全性漏洞包含管理权限提高漏洞、SMM运行内存破坏漏洞和DXE内存破坏漏洞，在其中：
管理权限提高漏洞包含CVE-2020-5953、CVE-2021-41839、CVE-2021-41841、CVE-2021-41840、CVE-2020-27339、CVE-2021-42060、CVE-2021-42113、CVE-2021-43522、CVE-2022-24069、CVE-2021-43615;
SMM运行内存破坏漏洞包含CVE-2021-41837、CVE-2021-41838、CVE-2021-33627、CVE-2021-45971、CVE-2021-33626、CVE-2021-45970、CVE-2021-45969、CVE-2022-24030、CVE-2021-42554、CVE-2021-33625、CVE-2022-24031和CVE-2021-43323。
DXE运行内存破坏漏洞包含CVE-2021-42059漏洞。
漏洞CVSS得分在7.5分得8.2分中间，网络攻击利用这种漏洞可以完成SMM管理权限的执行命令。做为漏洞利用链的一部分，这种漏洞可以做为绕开安全性特点和完成停留的第二阶段。有总体目标系统软件权利客户访问限制的网络攻击可以利用UEFI漏洞利用来安裝恶意程序，除此之外还能够绕开计算机终端解决方法、安全启动、根据虚拟化技术的安全应急预案等。
以CVE-2021-42059漏洞为例子，漏洞造成的因素是GetVariable()函数公式的误用：
Binarly科学研究工作人员称，因为可靠服务平台控制模块的不够，全部漏洞利用没法被固件一致性监控系统发觉。因为固件运作时的由此可见性设计方案限定造成远程控制机器设备健康服务解决方法也没法检验受影响的系统软件。
文中翻譯自：https://www.binarly.io/posts/An_In_Depth_Look_at_the_23_High_Impact_Vulnerabilities/index.html倘若转截，请标明全文详细地址。