Los investigadores de seguridad han encontrado vulnerabilidades ocultas en varios modelos de portátiles orientados a empresas de HP que continúan sin parches, dijo (Sic) Binarily a los oyentes en la conferencia Black Code.
Dijo que estas fallas son "difíciles de detectar con las mediciones de TPM".
Las fallas de firmware pueden tener implicaciones graves, ya que permiten que un adversario logre una persistencia a largo plazo en un dispositivo que se ejecuta en segundo plano, evadiendo las protecciones de seguridad tradicionales del sistema operativo.
Las vulnerabilidades de alta gravedad identificadas por Binarly afectan a los dispositivos HP EliteBook y se refieren a un caso de corrupción de la memoria en el modo de gestión del sistema (SMM) del firmware, lo que permite a un atacante ejecutar código arbitrario con los privilegios más altos:
- CVE-2022-23930 (Puntuación CVSS: 8.2) – Desbordamiento de búfer basado en pila
- CVE-2022-31640 (Puntuación CVSS: 7.5) – Validación de entrada incorrecta
- CVE-2022-31641 (Puntuación CVSS: 7.5) – Validación de entrada incorrecta
- CVE-2022-31644 (Puntuación CVSS: 7.5) – Escritura fuera de los límites
- CVE-2022-31645 (Puntuación CVSS: 8.2) – Escritura fuera de límites
- CVE-2022-31646 (Puntuación CVSS: 8.2) – Escritura fuera de límites
Tres de los errores (CVE-2022-23930, CVE-2022-31640 y CVE-2022-31641) se notificaron a HP en julio de 2021, con las tres vulnerabilidades restantes (CVE-2022-31644, CVE-2022-31645, y CVE-2022-31646) informado en abril de 2022.
Vale la pena señalar que CVE-2022-23930 también es una de las 16 fallas de seguridad señaladas anteriormente en febrero que afectaron a varios modelos empresariales de HP.
SMM es un modo de propósito especial utilizado por el firmware para manejar funciones de todo el sistema, como administración de energía, interrupciones de hardware u otro código propietario.
Las deficiencias identificadas en el componente SMM pueden, por lo tanto, utilizarse para realizar actividades nefastas con mayores privilegios que los del sistema operativo.
Aunque HP lanzó mitigaciones para abordar las fallas en marzo y agosto, todavía tienen que impulsar los parches para todos los modelos afectados. Esto significa que los clientes corren el riesgo de sufrir ciberataques hasta que instalen el parche.
“En muchos casos, el firmware es un único punto de falla entre todas las capas de la cadena de suministro y el dispositivo final del cliente”, dijo Binarly. “Reparar las vulnerabilidades de un solo proveedor no es suficiente”.
“Como resultado de la complejidad de la cadena de suministro de firmware, existen brechas que son difíciles de cerrar en el extremo de la fabricación, ya que involucra problemas que escapan al control de los proveedores de dispositivos”.
La divulgación también llega cuando el fabricante de PC implementó la semana pasada correcciones para una falla de escalada de privilegios (CVE-2022-38395, puntaje CVSS: 8.2) en su software de solución de problemas Support Assistant.
“Es posible que un atacante explote la vulnerabilidad de secuestro de DLL y eleve los privilegios cuando HP Performance Tune-up inicia Fusion”, señaló la compañía en un aviso.
Español de Argentina 
English 
हिन्दी 
ગુજરાતી 
தமிழ் 
తెలుగు 
मराठी 
മലയാളം 
বাংলা 
Français de Belgique 
Deutsch (Schweiz) 
Deutsch (Sie) 
Deutsch 
English (Canada) 
English (New Zealand) 
English (UK) 
English (Australia) 
English (South Africa) 
Afrikaans 
اردو 
العربية 
Русский 
简体中文 
Azərbaycan dili 
অসমীয়া 
Magyar 
Bahasa Indonesia 
Español de Colombia 
日本語 
Italiano 
Tiếng Việt 
Українська 
فارسی 
Français du Canada