Selon des chercheurs, le pilote de mise à jour du micrologiciel de Dell abrite de graves bogues de sécurité depuis plus de dix ans
Le groupe de recherche en sécurité SentinelLabs affirme avoir découvert des bogues potentiellement dangereux dans un produit commun de Dell qui, selon lui, pourrait avoir des conséquences "importantes et de grande portée" pour des centaines de millions d'utilisateurs individuels et d'entreprises possédant des PC de l'équipementier dans le monde entier.
Le laboratoire affirme que les vulnérabilités sont trouvées dans le module pilote de mise à jour du micrologiciel Dell v2.3 (dbutil_2_3.sys) , qui est actif sur les machines de l'entreprise depuis 2009. Il y a apparemment 5 de ces failles, dont 4 sont des élévations de privilèges locales (LPE) et 1 un bug de déni de service (DoS).
Parmi les LPE, 2 sont décrites sur comme étant provenant d'une corruption de la mémoire et 2 d'un défaut de validation des entrées. Selon SentinelLabs, ils peuvent conduire à divers points d'entrée pour les utilisateurs non privilégiés, dont l'un des plus importants est la possibilité d'exécuter des demandes de contrôle d'entrée/sortie (IOCTL) sans référence à une liste de contrôle d'accès (ACL).
Cette licence permettant de passer outre les ACL (un ensemble de règles destinées à restreindre l'accès aux seuls utilisateurs privilégiés) pourrait permettre à un acteur malveillant de créer des vulnérabilités en lecture/écriture, ou d'interagir avec des composants tels que les GPU ou les disques durs. Les cinq bogues sont désormais connus sous le nom de CVE-2021-21551, dont le degré de gravité est de 8,8 sur 10.
Encore une fois, SentinelLabs note également qu'ils ont aucune trace les SentinelLabs notent également qu'ils n'ont aucune trace de l'exploitation de ces failles (peut-être aurions-nous entendu parler d'elles plus tôt si cela s'était produit). Ils ont informé Dell de la situation bien avant de publier ses recherches, ce qui a entraîné l'envoi de l'avis de sécurité DSA-2021-088 à tous les PC utilisant le pilote concerné
Cependant, l'équipe de sécurité estime que cette mesure n'est pas satisfaisanteL'équipe de sécurité estime toutefois que cette mesure n'est pas satisfaisante, car elle affirme que son "certificat n'a pas encore été révoqué (au moment de la rédaction du présent document)". Néanmoins, il est conseillé d'installer le nouveau pilote corrigé trouvé dans la récente DSA pour se protéger au mieux contre les problèmes de sécurité potentiels.
Première chose à faire lors de la configuration de votre nouveau XPS 13, donc.
Source(s)
Top 10
» Le Top 10 des PC portables multimédia
» Le Top 10 des PC portables de jeu
» Le Top 10 des PC portables de jeu légers
» Le Top 10 des ordinateurs portables bureautiques
» Le Top 10 des PC portables bureautiques premium/professionnels
» Le Top 10 des Stations de travail mobiles
» Le Top 10 des Ultraportables
» Le Top 10 des Ultrabooks
» Le Top 10 des Convertibles
» Le Top 10 des Tablettes
» Le Top 10 des Tablettes Windows
» Le Top 10 des Smartphones
» Le Top 10 des PC Portables á moins de 300 euros
» Le Top 10 des PC Portables á moins de 500 euros
» Le Top 25 des meilleurs écrans d'ordinateurs