СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
10.03.2022

BDU:2022-01435 (CVE-2022-24421) — уязвимость микропрограммного обеспечения BIOS ноутбуков Dell

По данным БДУ ФСТЭК России, по состоянию на 24.03.2022.

Высокий — 8.2/10 Устранена

Уязвимость микропрограммного обеспечения BIOS ноутбуков Dell вызвана выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Кого касается и что делать

  • Уязвимое ПО: G15 5515 (Dell Technologies) — версии до 1.16.1; Alienware 15 R3 (Dell Technologies) — версии до 1.16.1; Alienware 15 R4 (Dell Technologies) — версии до 1.17.0; и ещё 42 позиции
  • Что делать: уязвимость устранена производителем — применить исправления: www.dell.com

Сведения об уязвимости

Идентификаторы BDU:2022-01435 · CVE-2022-24421
Уровень опасности Высокий (базовая оценка CVSS 3.1 — 8.2; CVSS 2.0 — 6.8)
Вектор CVSS 3.1 AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
нужен локальный доступ, низкая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК Уязвимость микропрограммного обеспечения BIOS ноутбуков Dell, вызванная выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код
Даты Опубликована: 23.03.2022 · Обновлена ФСТЭК: 24.03.2022 · Выявлена: 10.03.2022
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-119 — выход операции за границы буфера в памяти
Класс уязвимости Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

  • G15 5515 (Dell Technologies) — до 1.16.1 · ПО сетевого программно-аппаратного средства
  • Alienware 15 R3 (Dell Technologies) — до 1.16.1 · ПО программно-аппаратного средства
  • Alienware 15 R4 (Dell Technologies) — до 1.17.0 · ПО программно-аппаратного средства
  • Alienware 17 R4 (Dell Technologies) — до 1.16.1 · ПО программно-аппаратного средства
  • Alienware 17 R5 (Dell Technologies) — до 1.17.0 · ПО программно-аппаратного средства
  • Alienware Area 51M R1 (Dell Technologies) — до 1.18.0 · ПО программно-аппаратного средства
  • Alienware Area 51M R2 (Dell Technologies) — до 1.13.0 · ПО программно-аппаратного средства
  • Alienware Aurora R8 (Dell Technologies) — до 1.0.20 · ПО программно-аппаратного средства
  • Alienware M15 R2 (Dell Technologies) — до 1.12.0 · ПО программно-аппаратного средства
  • Alienware M15 R3 (Dell Technologies) — до 1.14.0 · ПО программно-аппаратного средства
  • Alienware M15 R4 (Dell Technologies) — до 1.8.0 · ПО программно-аппаратного средства
  • Alienware M17 R2 (Dell Technologies) — до 1.12.0 · ПО программно-аппаратного средства
  • Alienware M17 R3 (Dell Technologies) — до 1.14.0 · ПО программно-аппаратного средства
  • Alienware M17 R4 (Dell Technologies) — до 1.8.0 · ПО программно-аппаратного средства
  • Alienware X15 R1 (Dell Technologies) — до 1.7.0 · ПО программно-аппаратного средства
  • Alienware X17 R1 (Dell Technologies) — до 1.7.0 · ПО программно-аппаратного средства
  • Edge Gateway 3000 (Dell Technologies) — до 1.7.0 · ПО программно-аппаратного средства
  • Edge Gateway 5000/5100 (Dell Technologies) — до 1.17.0 · ПО программно-аппаратного средства
  • Embedded Box PC 3000 (Dell Technologies) — до 1.13.0 · ПО программно-аппаратного средства
  • Embedded Box PC 5000 (Dell Technologies) — до 1.14.0 · ПО программно-аппаратного средства
  • Inspiron 14 3473 (Dell Technologies) — до 1.14.0 · ПО программно-аппаратного средства
  • Inspiron 15 3573 (Dell Technologies) — до 1.14.0 · ПО программно-аппаратного средства
  • Inspiron 15 5566 (Dell Technologies) — до 1.18.0 · ПО программно-аппаратного средства
  • Inspiron 3277 (Dell Technologies) — до 1.19.0 · ПО программно-аппаратного средства
  • Inspiron 3465 (Dell Technologies) — до 1.12.0 · ПО программно-аппаратного средства
  • Inspiron 3477 (Dell Technologies) — до 1.19.0 · ПО программно-аппаратного средства
  • Inspiron 3482 (Dell Technologies) — до 1.13.0 · ПО программно-аппаратного средства
  • Inspiron 3502 (Dell Technologies) — до 1.7.0 · ПО программно-аппаратного средства
  • Inspiron 3510 (Dell Technologies) — до 1.6.0 · ПО программно-аппаратного средства
  • Inspiron 3565 (Dell Technologies) — до 1.12.0 · ПО программно-аппаратного средства
  • Inspiron 3582 (Dell Technologies) — до 1.13.0 · ПО программно-аппаратного средства
  • Inspiron 3782 (Dell Technologies) — до 1.13.0 · ПО программно-аппаратного средства
  • Latitude 3379 (Dell Technologies) — до 1.0.34 · ПО программно-аппаратного средства
  • Vostro 14 5468 (Dell Technologies) — до 1.19.0 · ПО программно-аппаратного средства
  • Vostro 15 5568 (Dell Technologies) — до 1.19.0 · ПО программно-аппаратного средства
  • Vostro 3267 (Dell Technologies) — до 1.20.0 · ПО программно-аппаратного средства
  • Vostro 3268 (Dell Technologies) — до 1.20.0 · ПО программно-аппаратного средства
  • Vostro 3572 (Dell Technologies) — до 1.14.0 · ПО программно-аппаратного средства
  • Vostro 3582 (Dell Technologies) — до 1.13.0 · ПО программно-аппаратного средства
  • Vostro 3660 (Dell Technologies) — до 1.20.0 · ПО программно-аппаратного средства
  • Vostro 3667 (Dell Technologies) — до 1.20.0 · ПО программно-аппаратного средства
  • Vostro 3668 (Dell Technologies) — до 1.20.0 · ПО программно-аппаратного средства
  • Vostro 3669 (Dell Technologies) — до 1.20.0 · ПО программно-аппаратного средства
  • Wyse 7040 Thin Client (Dell Technologies) — до 1.15.0 · ПО программно-аппаратного средства
  • XPS 8930 (Dell Technologies) — до 1.1.21 · ПО программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

  • Установка обновлений из доверенных источников.
  • В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуем устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

  • ограничение доступа к уязвимым устройствам, в том числе, с применением средств доверенной загрузки
  • отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей
  • принудительная смена паролей пользователей
  • мониторинг действий пользователей
  • использование антивирусных средств защиты.
    Информация от производителя:
    www.dell.com/support/kbdoc/en-us/000197057/dsa-2022-053

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных