3,000万台のデル製PCのBIOS機能に脆弱性。更新または機能無効化を推奨

BIOSConnectの脆弱性

　Dellは24日(現地時間)、同社のBIOS更新機能「BIOSConnect」機能に2種類の脆弱性が存在することを明らかにし、回避および緩和策を提示した。

　この脆弱性を発見したのはセキュリティ企業のEclypsium。Eclypsiumによれば、Dell製コンシューマ/企業向けPCの129機種に搭載された「BIOSConnect」に、2種類の脆弱性がある。影響を受けるデバイスは少なくとも3,000万台を超えると予測している。

　BIOSConnectはOSが起動する前に起動するプログラムで、HTTP(s)を介してDellのサーバーにアクセスし、BIOSの更新を行なったり、システムのリカバリを行なったりできる。具体的には、HTTP(s)を介してローカルのRAMディスクにクラウドベースのOS(SOS)イメージをダウンロードして、必要な操作を行なう仕組みだ。

BIOSConnectの概要

　脆弱性の1つが、バックエンドのHTTPサーバーに接続する際に、BIOSConnectからの任意の有効なワイルドカード証明証を受け入れ、TLS接続してしまうことにある。そのためリモートで認証されていない攻撃者は、中間者攻撃を使用してこの脆弱性を悪用し、サービスの拒否やペイロードの改ざんができてしまう。

　もう1つはバッファオーバーフローの脆弱性で、システムへのローカルアクセス権を持つ認証済みの管理者は、脆弱性を悪用して任意のコードを実行し、UEFIの制限を回避してしまう可能性があるとしている。

　デルではこの脆弱性を持つ機種に対し、修正したBIOSを配布して問題解決するほか、BIOSの適用が難しい場合、BIOSConnectの機能を無効にしたり、HTTPSブート機能を無効にしたりすることで緩和できるとしている。