据thehackernews消息，戴尔BIOS存在五个新的安全漏洞，如果这些漏洞被黑客利用，可能会导致在易受攻击的系统上执行代码。这与最近在Insyde Software 的InsydeH2O和 HP 统一可扩展固件接口 ( UEFI ) 中发现的固件漏洞类似。

五个高危漏洞的编号分别是 CVE-2022-24415、CVE-2022-24416、CVE-2022-24419、CVE-2022-24420 和 CVE-2022-24421，在 CVSS 评分系统中被评为 8.2 分（满分 10 分）。

发现后三个漏洞的固件安全公司 Binarly表示，“由于可信平台模块 (TPM) 测量的限制，固件完整性监控系统无法检测到对所有已发现漏洞的主动利用。而固件运行时可见性的设计限制，让远程设备健康证明解决方案不会检测到受影响的系统。”

所有缺陷都与影响固件系统管理模式 ( SMM ) 的不正确输入验证漏洞有关，有效地允许本地经过身份验证的攻击者利用系统管理中断 (SMI) 来实现任意代码执行。

系统管理模式是指x86 微控制器中的一种专用 CPU 模式，旨在处理系统范围的功能，如电源管理、系统硬件控制、热监控和其他专有制造商开发的代码。

每当请求其中一项操作时，都会在运行时调用不可屏蔽中断 (SMI)，它会执行 BIOS 安装的 SMM 代码。鉴于 SMM 代码在最高权限级别执行并且对底层操作系统不可见，因此该方法让攻击者可以部署持久性固件植入。

包括 Alienware、Inspiron、Vostro 系列和 Edge Gateway 3000 系列在内的许多戴尔产品都受到了影响，因此戴尔也强烈建议用户尽快升级其BIOS。

Binarly 研究人员表示，“这些故障是代码库的复杂性或对安全性关注较少遗留组件产生的直接后果，仍广泛部署在该领域。在许多情况下，可以通过多次迭代修复相同的漏洞，但是攻击面的复杂性仍为恶意利用留下了空白。”

参考来源：https://thehackernews.com/2022/03/new-dell-bios-bugs-affect-millions-of.html