HP opravuje závažné bezpečnostní chyby v BIOSu dvou set modelů PC

Nové verze BIOSů jsou vypouštěny do světa obvykle kvůli podpoře nových procesorů či kvůli zajištění lepší kompatibility, ale v poslední době byly běžné i opravy procesorových mikrokódů kvůli přívalu různých exploitů jako Spectre či Meltdown. Nyní však jde přitom konkrétně o počítače firmy HP, a to desktopy i notebooky řad EliteBook, ProBook, ZBook, různé all-in-one modely, pracovní stanice i tenké klienty. 

 

 

Můžeme tak vřele doporučit, aby si majitelé počítačů firmy HP ověřili, zda i pro ně není k dispozici nový BIOS, který by řešil bezpečnostní chyby CVE-2021-3808 a CVE-2021-3809. Ty mají obě základní skóre 8,8 dle Common Vulnerability Scoring System Version 3.1 (CVSS 3.1), což značí vysokou závažnost, i když podrobnosti se nedozvíme. HP avšak alespoň uvádí podrobnosti o tom, které konkrétní modely počítačů jsou těmito chybami ohroženy a dává k dispozici ke stáhnutí příslušné SoftPaq. 

 

Bezpečnostní výzkumník Nicholas Starke, který tyto chyby sám loni v listopadu objevil, na svém blogu hlásí, že dané chyby se týkají eskalace práv, čili útočník může využitím těchto chyb získat vyšší práva až do SMM (System Management Mode), čili si pak může s počítačem dělat cokoliv. Může i přímo do paměti firmwaru umístit rootkit, který tak v počítači zůstane bez ohledu na to, co uděláme s jeho diskem či SSD. 

 

Starke ovšem upozorňuje, že počítače se systémem HP Sure Start by měly detekovat, že bylo s pamětí firmwaru manipulováno, čili uživatel by se o tom dozvěděl, neboť by pak systém zobrazil upozornění a žádal by o povolení nabootovat. 

 

HP už nyní nabízí opravné SoftPaqy pro většinu postižených systémů, ale v některých případech si na ně ještě počkáme.