Дыры в прошивке компьютеров от HP не могут устранить больше года

Дыры в прошивке компьютеров от HP не могут устранить больше года

Дыры в прошивке компьютеров от HP не могут устранить больше года

В общей сложности шесть опасных уязвимостей в прошивке затрагивают широкий спектр устройств от HP, используемых в корпоративных средах. Несмотря на то что о ряде багов было известно ещё в июле 2021-го, некоторые компьютеры стоят до сих пор непропатченными.

Дыры в прошивке особенно опасным тем, что могут привести к установке вредоносного софта, который будет функционировать даже после переустановки операционной системы. Кроме того, такие вредоносы смогут легко обходить защитные средства.

Вопрос с уязвимыми устройствами от HP подняли специалисты компании Binarly. В отчёте эксперты пишут, что о некоторых брешах из набора они рассказывали ещё на конференции Black Hat 2022.

Тем не менее вендор пока оставил без патча ряд моделей, что, само собой, открывает эти устройства для атак киберпреступников. О первых трёх багах исследователи сообщили HP в июле 2021 года, об остальных — в апреле 2022-го.

Получается, что на исправление изъянов у вендора было в одном случае четыре месяце, в другом — вообще больше года. Все проблемы связаны с повреждением памяти в System Management Module (SMM), что приводит к выполнению кода.

SMM является частью UEFI-прошивки и предоставляет полезные функции вроде возможности управления аппаратной начинкой. Список уязвимостей с идентификаторами выглядит так:

  • CVE-2022-23930 – переполнение буфера, приводящее к выполнению кода (8,2 балла по CVSS v3, «высокая степень риска»)
  • CVE-2022-31644 – запись за пределами границ в CommBuffer, позволяющая частично обойти валидацию (7,5 балла по CVSS v3, «высокая степень риска»)
  • CVE-2022-31645 – та же запись за пределами границ в CommBuffer, поскольку не проверятся размер указателя, отправляемого обработчику SMI (8,2 балла по CVSS v3, «высокая степень риска»)
  • CVE-2022-31646 – проблема, приводящая к повышению прав и выполнению кода из-за прямого воздействия на память (8,2 балла по CVSS v3, «высокая степень риска»)
  • CVE-2022-31640 – некорректная проверка ввода, предоставляющая атакующим контроль над данными CommBuffer (7,5 балла по CVSS v3, «высокая степень риска»)
  • CVE-2022-31641 – брешь в обработчике SMI, приводящая к выполнению кода (7,5 балла по CVSS v3 «высокая степень риска»)

 

Напомним, что на днях мы писали об устранении опасной уязвимости в предустановленном софте HP Support Assistant.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Госдума: россиян будут пускать в интернет только после идентификации

В ближайшие три года все действия пользователей в российском сегменте интернета могут стать полностью деанонимизированными, а доступ в сеть — возможен только после идентификации личности. Об этом заявил зампред комитета Госдумы по информационной политике Андрей Свинцов.

По словам депутата, которые передаёт «Газета.Ru», развитие цифровых технологий требует наведения порядка в онлайн-пространстве, и без введения системы верификации сделать это невозможно.

«Через три, максимум пять лет всё, что мы делаем в интернете, будет деанонимизировано. Каждый пользователь будет входить в Сеть через специальный идентификатор, который подтвердит его возраст и права доступа. По сути, аналог “Госуслуг” — когда ты верифицированный пользователь и получаешь полный набор возможностей», — пояснил Свинцов.

Он считает, что интернет постепенно «засоряется» ботами и сгенерированным контентом, из-за чего теряет ценность для реальных пользователей:

«Интернет стремительно превращается в мертвый — где боты генерируют контент, размещают его на фейковых страницах, а ленты соцсетей заполняются материалами без живых авторов. Всё это нужно ограничивать, иначе соцсети потеряют смысл».

По словам парламентария, идентификация пользователей могла бы стать способом борьбы не только с ботами, но и с распространением нелегального и безответственного контента.

Напомним, ранее член Общественной палаты Евгений Машаров выступил с похожей инициативой — он предложил обязательную идентификацию по паспорту для доступа к материалам 18+.

Машаров объяснил, что многие подростки беспрепятственно смотрят «взрослый» контент, включая видео с нецензурной лексикой и сценами насилия, что, по его мнению, негативно влияет на их психику и ценностные установки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru