Un logiciel pré-installé dans plus de 30 millions de PC Dell contient des failles de sécurité

25 juin 2021 à 13h30
9
Dell G5 15-14 © © Nathan Le Gohlisse pour Clubic
© Dell

Des chercheurs ont trouvé des failles de sécurité dans SupportAssist, un logiciel pré-installé sur des millions de PC Dell.

Ces failles concernent la fonctionnalité BIOSConnect, qui permet d'obtenir des mises à jour du firmware et des options de récupération du système d'exploitation.

Quatre vulnérabilités présentes dans BIOSConnect

Les chercheurs d'Eclypsium ont découvert plusieurs vulnérabilités concernant BIOSConnect, présent dans SupportAssist. BIOSConnect permet de réaliser plusieurs opérations, comme des mises à jour du firmware ou une récupération du système à distance, qui nécessitent que le BIOS du système communique avec le backend de Dell par Internet pour récupérer les fichiers nécessaires.

Le problème étant que cette connexion contient une vulnérabilité, désignée sous le nom de CVE-2021-21571, qui permettrait à un attaquant de se faire passer pour Dell et de délivrer du contenu à l'appareil de la victime. Si UEFI Secure Boot est désactivé, cette vulnérabilité permet d'exécuter du code à distance dans l'environnement UEFI/pré-boot. Dans le cas où il est activé, trois autres vulnérabilités, indépendantes les unes des autres et de type overflow, permettent d'arriver au même résultat, c'est-à-dire à l'exécution de code dans le BIOS. Deux d'entre elles concernent le processus de récupération système, et la dernière, les mises à jour du firmware.

Des millions d'appareils concernés

« Une telle attaque permettrait aux adversaires de contrôler le processus de démarrage de l'appareil et de contourner le système d'exploitation et les contrôles de sécurité de niveau supérieur » a indiqué Eclypsium dans son rapport. Ces vulnérabilités sont d'autant plus critiques qu'elles concernent un logiciel pré-installé sur la plupart des PC Dell. D'après les chercheurs, 129 modèles sont concernés, ce qui représente plus de 30 millions d'appareils.

Eclypsium indique que seule une mise à jour du BIOS/UEFI permet de corriger ces failles, mais il déconseille de la réaliser à partir de BIOSConnect. Deux des failles ont déjà été corrigées par Dell côté serveur et ne nécessitent pas d'action de la part des utilisateurs. Pour les autres, Dell a fourni un document pour déterminer quelle mise à jour appliquer selon son modèle d'ordinateur.

Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
9
10
Vanilla
A partir d’un moment, ce n’est plus une faille mais un feature.
wackyseb
PC portable neuf = réinstallation avec un Windows propre.<br /> Il faut systématiquement virer toute trace de ce genre de logiciel.<br /> Le pire étant ACER dans ce domaine.
Azito
HP aussi.
kplan
Lenovo aussi.<br /> Au suivant !
juju251
wackyseb:<br /> PC portable neuf = réinstallation avec un Windows propre.<br /> Il faut systématiquement virer toute trace de ce genre de logiciel.<br /> +1.<br /> C’est ce que je fais systématiquement également.<br /> Et réfléchir aussi à l’utilité des logiciels qui peuvent tourner en arrière plan en permanence en utilisant une connexion à Intenret.<br /> Pour ce qui concerne les mises à jour de Bios ou autres pilotes, personnellement, je n’utilise jamais de logiciel pour le faire, je prpéfère le faire peut-être moins souvent, mais à la main en allant sur le site des différents fabricants.<br /> C’est certes plus long, mais au moins je maitrise le truc.<br /> J’ai eu il y a peu un écran bleu après une mise à jour de pilote décidée par Windows Update …
Mx34
Et windows aussi qui préinstall des candy crush et compagnie, toujours faire un clean de sont windows avec revouninstaller pour tout virer ce qui n’est pas utile.
Space_Boy
ah…j’ai ce Support Assist de Dell. sniff…sniff…
kyrios
Pour ma part réinstallation avec un Linux. Dell à des machines très Linux friendly et leur SAV est très cool avec ca aussi (ils ont gentillement réduit la taille de la partition pour en refaire une petite et remettre un windows dessus car ils doivent rendre les machines réparées dans le même état qu’une machine neuve).
Francis7
J’ai tout mis à jour dès le départ. Windows update fait certaines mises à jour aussi : BIOS et compagnie. J’ai tout d’installé mais nul besoin d’aller faire des mises à jour à nouveau.<br /> Et puis il faudrait vraiment venir me chercher, hein !
wackyseb
Félicitations Juju, Super modo, j’avais pas vu <br /> Ou j’ai jamais remarqué <br /> Oui les écrans bleus, une grande et riche idée de Microsoft. Quoique c’est de plus en plus rare.<br /> J’ai déjà eu des gros plantages Linux aussi mais c’était surtout ma faute.<br /> Par contre sur Mac, soit j’ai de la chance, soit c’est super fiable mais j’ai jamais eu de plantage et un de mes iMac est resté allumé 2 ans sans jamais redémarrer (bon on n’a pas fait les mises à jour non plus!!!) c’était un Mac dédié à Photoshop et illustrator.
Voir tous les messages sur le forum

Lectures liées

Le moniteur LG UltraWide Full HD IPS de 29'' tombe sous les 200 euros
Les nouveaux chipsets AMD pour Ryzen 7000 (Zen4) devraient être dévoilés sous peu
La carte graphique Gigabyte GeForce RTX 3070 en promo chez RueDuCommerce
Acer dévoile de nouveaux écrans 3D stéréoscopiques sans lunettes SpatialLabs View
Le futur des cartes SD s'annonce avec la norme SD 9
Voilà un prix très attractif pour ce PC Oled de 14
Toujours plus : la première mémoire DDR5 avec des ventilateurs RGB !
Acer lance une flopée de nouveaux laptops dont un Swift 3 OLED, sous la barre des 1000 euros
Faites des économies en achetant le SSD Crucial P5 Plus en promo chez Amazon
Le Chromebook Acer 15,6
Haut de page