HP-BIOS: BSI warnt vor Schwachstelle, die Codeausführung ermöglicht

Der Computer-Hersteller HP hat mehrere schwerwiegende Sicherheitslücken geschlossen, die es Angreifern ermöglichten, unentdeckt beliebigen Code auszuführen. Für zahlreiche Systeme gibt es daher jetzt dringend empfohlene UEFI/BIOS-Updates. HP hat insgesamt Firmware-Updates für mehr als 200 Modelle von Laptops, Workstations, Point-of-Sale-PCs und Thin Clients veröffentlicht, um zwei als hoch eingestufte Sicherheitslücken in der UEFI-Firmware zu schließen. Das geht aus einer Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik hervor. In dem veröffentlichten Sicherheitshinweis heißt es:


Der Hersteller warnt ebenfalls vor den Schwachstellen und bittet Betroffene, die neuen Firmware-Updates schnellstmöglich einzuspielen. Nach Angaben des Unternehmens können die Schwachstellen CVE-2021-3808 und CVE-2021-3809 auf Systemen mit früheren Versionen der UEFI-Firmware die Ausführung von beliebigem Code ermöglichen. Beide Schwachstellen wurden als hoch eingestuft und erhielten CVSS-Scores von 8,8 von 10.


HP sagt, dass die Schwachstellen Geräte zahlreicher Produktlinien in verschiedenen Gerätekategorien betreffen; eine vollständige Liste ist über den Sicherheitshinweis verfügbar. Laut dem Online-Magazin Bleeping Computer stehen derzeit allerdings noch nicht für alle betroffene Geräte Patches zur Verfügung. Derzeit bietet HP nur sehr wenig Informationen über die Schwachstellen. Auch in den Listen der National Vulnerability Database gibt es keine weiteren Einzelheiten zu den Auswirkungen der Sicherheitslücke. Nur der Sicherheitsforscher Nicholas Starke, der die Schwachstelle entdeckt hat, hat in seinem Blog einige weiterführende Details veröffentlicht.

"Diese Schwachstelle könnte es einem Angreifer, der mit Kernel-Level-Privilegien (CPL == 0) arbeitet, ermöglichen, seine Privilegien im System Management Mode (SMM) zu erweitern", schreibt Starke. "Die Ausführung im SMM gibt einem Angreifer volle Rechte über den Host, um weitere Angriffe auszuführen."

Vielen Dank für die Übermittlung dieses News-Tipps!

Siehe auch: Update, Aktualisierung, Updates, Upgrade, Sicherheitsupdate, Neu, Softwareaktualisierung, Software Updates