Scoperte 16 nuove vulnerabilità ad alto impatto nel firmware dei dispositivi HP Enterprise

Le vulnerabilità di sicurezza consentono all'impianto del firmware di sopravvive agli aggiornamenti del sistema operativo e ignorare UEFI Secure Boot, Intel Boot Guard e la sicurezza basata sulla virtualizzazione.

Pasadena, California. 8 marzo 2022. Gli specialisti della sicurezza del firmware Binarly annunciano la scoperta e la divulgazione coordinata di 16 nuove vulnerabilità ad alta gravità in varie implementazioni del firmware UEFI che interessano più dispositivi aziendali HP, inclusi laptop, desktop, sistemi POS e nodi di edge computing.

Queste vulnerabilità (classificazione di gravità elevata CVSS 7.5 - 8.8) vengono rilevate nel firmware HP UEFI. Altri problemi collegati potrebbero interessare il codice di riferimento AMD (BRLY-2021-004 / CVE-2021-39298).

Utilizzando la tecnologia di somiglianza del codice interna di Binarly sull'intero corpus del firmware si attiva un rilevamento su un pezzo del firmware stesso. Il firmware apparteneva ad un dispositivo Dell (vulnerabilità originariamente trovata sui dispositivi HP). Ciò ha portato alla conclusione che la vulnerabilità esiste in qualche pezzo di riferimento codice.

Ulteriori indagini collegano questo codice al driver del firmware di AMD (AgesaSmmSaveMemoryConfig), che è ampiamente diffuso nell'intero ecosistema informatico.

L'impegno di Binarly contro le vulnerabilità

L'azienda collabora costantemente con i team HP e CERT/CC per comprendere la portata delle vulnerabilità e ridurre l'impatto sulle implementazioni dell'infrastruttura aziendale a livello globale.

A febbraio di quest'anno, Binarly ha segnalato 23 falle di sicurezza del firmware critiche che interessano l'intero ecosistema dei dispositivi aziendali.

Le scoperte di Binarly seguono la pubblicazione di una nuova bozza di rapporto congiunto.

Binarly ritiene che la mancanza di una base di conoscenza delle tecniche comuni di sfruttamento del firmware e delle primitive relative al firmware UEFI renda questi guasti ripetibili per l'intero settore. Stiamo lavorando duramente per colmare questa lacuna fornendo dettagli tecnici completi nei nostri avvisi. Questa base di conoscenze è fondamentale per lo sviluppo di efficaci mitigazioni e tecnologie di difesa per la sicurezza dei dispositivi

ha affermato Alex Matrosov, fondatore e CEO di Binarly.