Un certain nombre de failles de s\u00e9curit\u00e9 du micrologiciel d\u00e9couvertes dans les ordinateurs portables haut de gamme \u00e0 vocation professionnelle de HP continuent de ne pas \u00eatre corrig\u00e9es dans certains appareils, m\u00eame des mois apr\u00e8s leur divulgation publique.<\/p>\n
Binairement, quel premier d\u00e9tails r\u00e9v\u00e9l\u00e9s<\/a> des enjeux au niveau Conf\u00e9rence Black Hat USA<\/a> \u00e0 la mi-ao\u00fbt 2022, a d\u00e9clar\u00e9 que les vuln\u00e9rabilit\u00e9s “ne peuvent pas \u00eatre d\u00e9tect\u00e9es par les syst\u00e8mes de surveillance de l’int\u00e9grit\u00e9 du micrologiciel en raison des limitations de la mesure du module de plateforme s\u00e9curis\u00e9e (TPM)”.<\/p>\n Les failles du micrologiciel peuvent avoir de graves implications car elles peuvent \u00eatre exploit\u00e9es par un adversaire pour obtenir une persistance \u00e0 long terme sur un appareil d’une mani\u00e8re qui peut survivre aux red\u00e9marrages et \u00e9chapper aux protections de s\u00e9curit\u00e9 traditionnelles au niveau du syst\u00e8me d’exploitation.<\/p>\n Les faiblesses de haute gravit\u00e9 identifi\u00e9es par Binarly affectent les appareils HP EliteBook et concernent un cas de corruption de la m\u00e9moire dans le mode de gestion du syst\u00e8me (SMM) du micrologiciel, permettant ainsi l’ex\u00e9cution de code arbitraire avec les privil\u00e8ges les plus \u00e9lev\u00e9s –<\/p>\n Trois des bogues (CVE-2022-23930, CVE-2022-31640 et CVE-2022-31641) ont \u00e9t\u00e9 notifi\u00e9s \u00e0 HP en juillet 2021, les trois vuln\u00e9rabilit\u00e9s restantes (CVE-2022-31644, CVE-2022-31645, et CVE-2022-31646) signal\u00e9 en avril 2022.<\/p>\n Il convient de noter que CVE-2022-23930 est \u00e9galement l’une des 16 failles de s\u00e9curit\u00e9 qui ont \u00e9t\u00e9 signal\u00e9es plus t\u00f4t en f\u00e9vrier comme affectant plusieurs mod\u00e8les d’entreprise de HP.<\/p>\n SMM, \u00e9galement appel\u00e9 “Ring -2”, est un mode \u00e0 usage sp\u00e9cial utilis\u00e9 par le micrologiciel (c’est-\u00e0-dire UEFI) pour g\u00e9rer des fonctions \u00e0 l’\u00e9chelle du syst\u00e8me telles que la gestion de l’alimentation, les interruptions mat\u00e9rielles ou tout autre code propri\u00e9taire con\u00e7u par le fabricant d’\u00e9quipement d’origine (OEM). .<\/p>\n Les lacunes identifi\u00e9es dans le composant SMM peuvent donc agir comme un vecteur d’attaque lucratif pour les acteurs de la menace pour effectuer des activit\u00e9s n\u00e9fastes avec des privil\u00e8ges plus \u00e9lev\u00e9s que ceux du syst\u00e8me d’exploitation.<\/p>\n Bien que HP ait publi\u00e9 mises \u00e0 jour<\/a> \u00e0 adresse<\/a> la d\u00e9fauts<\/a> en mars et ao\u00fbt, le fournisseur n’a pas encore mis en place les correctifs pour tous les mod\u00e8les concern\u00e9s, exposant potentiellement les clients au risque de cyberattaques.<\/p>\n “Dans de nombreux cas, le micrologiciel est un point de d\u00e9faillance unique entre toutes les couches de la cha\u00eene d’approvisionnement et l’appareil client du point de terminaison”, Binarly a dit<\/a>ajoutant que “r\u00e9parer les vuln\u00e9rabilit\u00e9s d’un seul fournisseur ne suffit pas”.<\/p>\n “En raison de la complexit\u00e9 de la cha\u00eene d’approvisionnement des micrologiciels, il existe des lacunes difficiles \u00e0 combler du c\u00f4t\u00e9 de la fabrication, car cela implique des probl\u00e8mes ind\u00e9pendants de la volont\u00e9 des fournisseurs d’appareils.”<\/p>\n La divulgation arrive \u00e9galement alors que le fabricant de PC a d\u00e9ploy\u00e9 la semaine derni\u00e8re des correctifs pour une faille d’escalade de privil\u00e8ges (CVE-2022-38395, score CVSS\u00a0: 8,2) dans son logiciel de d\u00e9pannage Support Assistant.<\/p>\n “Il est possible pour un attaquant d’exploiter la vuln\u00e9rabilit\u00e9 de piratage de DLL et d’\u00e9lever les privil\u00e8ges lorsque Fusion lance HP Performance Tune-up”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. c’est not\u00e9<\/a> dans un avis.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n