Un logiciel pré-installé dans plus de 30 millions de PC Dell contient des failles de sécurité

25 juin 2021 à 13h30
9
Dell G5 15-14 © © Nathan Le Gohlisse pour Clubic
© Dell

Des chercheurs ont trouvé des failles de sécurité dans SupportAssist, un logiciel pré-installé sur des millions de PC Dell.

Ces failles concernent la fonctionnalité BIOSConnect, qui permet d'obtenir des mises à jour du firmware et des options de récupération du système d'exploitation.

Quatre vulnérabilités présentes dans BIOSConnect

Les chercheurs d'Eclypsium ont découvert plusieurs vulnérabilités concernant BIOSConnect, présent dans SupportAssist. BIOSConnect permet de réaliser plusieurs opérations, comme des mises à jour du firmware ou une récupération du système à distance, qui nécessitent que le BIOS du système communique avec le backend de Dell par Internet pour récupérer les fichiers nécessaires.

Le problème étant que cette connexion contient une vulnérabilité, désignée sous le nom de CVE-2021-21571, qui permettrait à un attaquant de se faire passer pour Dell et de délivrer du contenu à l'appareil de la victime. Si UEFI Secure Boot est désactivé, cette vulnérabilité permet d'exécuter du code à distance dans l'environnement UEFI/pré-boot. Dans le cas où il est activé, trois autres vulnérabilités, indépendantes les unes des autres et de type overflow, permettent d'arriver au même résultat, c'est-à-dire à l'exécution de code dans le BIOS. Deux d'entre elles concernent le processus de récupération système, et la dernière, les mises à jour du firmware.

Des millions d'appareils concernés

« Une telle attaque permettrait aux adversaires de contrôler le processus de démarrage de l'appareil et de contourner le système d'exploitation et les contrôles de sécurité de niveau supérieur » a indiqué Eclypsium dans son rapport. Ces vulnérabilités sont d'autant plus critiques qu'elles concernent un logiciel pré-installé sur la plupart des PC Dell. D'après les chercheurs, 129 modèles sont concernés, ce qui représente plus de 30 millions d'appareils.

Eclypsium indique que seule une mise à jour du BIOS/UEFI permet de corriger ces failles, mais il déconseille de la réaliser à partir de BIOSConnect. Deux des failles ont déjà été corrigées par Dell côté serveur et ne nécessitent pas d'action de la part des utilisateurs. Pour les autres, Dell a fourni un document pour déterminer quelle mise à jour appliquer selon son modèle d'ordinateur.

Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
9
10
Voir tous les messages sur le forum

Lectures liées

ASRock Challenger ITX : première carte graphique RDNA 2 simple ventilateur
AORUS P1200W : Gigabyte distribue une alimentation dotée d'un large écran LCD
AM5 : diffusion de rendus du nouveau socket d'AMD
AMD Navi 31 et NVIDIA AD102 : deux monstres de gourmandise électrique ?
Le point sur les Radeon RX 6600 XT des différents constructeurs
AMD officialise la Radeon RX 6600 XT : du RDNA2 pour le Full HD
Alder Lake : un lancement limité aux séries 'K' et 'KF' en 2021
TSMC avance bien sur le 2 nm ; dans les iPhone dès 2024
Voici une petite RTX 3070 LHR conçue par Galax... pour les petits PC
Intel continue de perdre des positions sur les serveurs, mais gagne 33 % sur le PC
Haut de page