Dell BIOS CVE-2013-3582多个缓冲区溢出漏洞

漏洞起因
边界条件错误
危险等级

影响系统
Dell BIOS

不受影响系统

危害
远程攻击者可以利用漏洞绕过安全检查,安装恶意BIOS映像。
CVSSv2:

攻击所需条件
攻击者必须诱使用户更新BIOS。

漏洞信息
用于一些旧的Latitude笔记本和Precision Mobile工作站的Dell BIOS存在缓冲区溢出,可绕过强制BIOS签名标准。
问题是由于DELL BIOS不正确处理rbu_packet.pktNum和rbu_packet.pktSize值,攻击者可在执行非法BIOS升级时设置这些值,当重构BIOS映像时BIOS读取这些值时可触发溢出,绕过任意签名检查。
通过诱使root和管理员用户执行恶意BIOS更新,攻击者可绕过签名检查安装任意BIOS映像。

测试方法
安全建议

厂商解决方案
用户可从DELL支持网站下载相应的BIOS更新版本以修复此漏洞:
http://support.dell.com/

漏洞提供者
Corey Kallenberg, John Butterworth, Xeno Kovah of the MITRE Corporation and Rick Martinez from Dell

评论关闭。