HP försenar patchar för sex kända sårbarheter i sina företagsenheter som kan leda till godtycklig kodexekvering av hackare om de utnyttjas framgångsrikt.
Dessa buggar upptäcktes av Binarly-teamet – några förra året och några i år – och delades med HP för patchning. Även om företaget släppte patchar för vissa modeller, är de flesta andra fortfarande sårbara för risker även efter ett år.
RCE-buggar i HP Enterprise-enheter
Forskare vid Binarly upptäckt sex sårbarheter i flera av HP Enterprise-enheterna som kan utsätta användare för olika cyberattacker. De sex sårbarheterna finns i den fasta programvaran för dessa HP-enheter – vilket gör det svårare att patcha för leverantören.
Firmware-infektioner kan vara särskilt farliga, eftersom skadlig programvara som tränger in i dem kan finnas kvar i offrets system, även mellan ominstallationer av operativsystemet, vilket ger angriparna mer tid och utrymme för skadliga operationer. De sex felen är enligt nedan;
- CVE-2022-23930 – Stackbaserat buffertspill som leder till exekvering av godtycklig kod. (CVSS v3-poäng: 8,2 “Hög”)
- CVE-2022-31644 – Out-of-bounds-skriv på CommBuffer, vilket möjliggör förbikoppling av partiell validering. (CVSS v3-poäng: 7,5 “Hög”)
- CVE-2022-31645 – Out-of-bounds-skriv på CommBuffer baserat på att inte kontrollera storleken på pekaren som skickas till SMI-hanteraren. (CVSS v3-poäng: 8,2 “Hög”)
- CVE-2022-31646 – Out-of-bounds-skrivning baserat på API-funktionalitet för direkt minnesmanipulation, vilket leder till privilegiehöjning och exekvering av godtycklig kod. (CVSS v3-poäng: 8,2 “Hög”)
- CVE-2022-31640 – Felaktig indatavalidering ger angripare kontroll över CommBuffer-data och öppnar vägen till obegränsade ändringar. (CVSS v3-poäng: 7,5 “Hög”)
- CVE-2022-31641 – Säkerhet i SMI-hanteraren som leder till exekvering av godtycklig kod. (CVSS v3-poäng: 7,5 “Hög”)
Forskare upptäckte alla buggar i HP:s SMM (System Management Module) – och varnade för att utnyttjandet av dem kunde leda till minneskorruption, och så småningom låta hackarna exekvera godtycklig kod på distans.
Även om HP har släppt tre säkerhetsråd som erkänner dessa buggar och relevanta korrigeringar för BIOS, är det fortfarande svårt att säkra alla enheter. Påverkade modeller inkluderar många företag anteckningsbok serier som Elite, Zbook och ProBook, stationära företagsdatorer som ProDesk, EliteDesk och ProOne, HP arbetsstationer som Z1, Z2, Z4, Zcentral och till och med försäljningsställen.
Eftersom alla dessa enheter inte har fått någon patch – även efter att HP informerades i juli 2021, det är bra att anta att HP-användare av ovanstående enheter är i riskzonen och varnas för potentiella attacker.
