惠普方面已經(jīng)就潛在的安全漏洞發(fā)出警告，這些漏洞可能允許以內(nèi)核權(quán)限執(zhí)行任意代碼，這將使黑客能夠進(jìn)入設(shè)備的BIOS并植入惡意軟件，而這些惡意軟件無(wú)法通過(guò)傳統(tǒng)的殺毒軟件或重新安裝操作系統(tǒng)來(lái)清除。

官方目前已經(jīng)為200多個(gè)設(shè)備型號(hào)發(fā)布了更新，修復(fù)了UEFI固件中的兩個(gè)高嚴(yán)重級(jí)別漏洞。

這兩個(gè)漏洞--CVE-2021-3808和CVE-2021-3809--的CVSS 3.1基本得分都是8.8分的高嚴(yán)重程度。

惠普公司沒(méi)有透露關(guān)于這些漏洞的任何技術(shù)細(xì)節(jié)。這一點(diǎn)留給了安全研究員尼古拉斯-斯塔克，他發(fā)現(xiàn)了這些漏洞。

斯塔克寫道："這個(gè)漏洞可能允許攻擊者以內(nèi)核級(jí)權(quán)限（CPL==0）執(zhí)行，將權(quán)限提升到系統(tǒng)管理模式（SMM）。在SMM模式下執(zhí)行操作，攻擊者就可以獲得對(duì)主機(jī)的全部權(quán)限，從而進(jìn)一步實(shí)施攻擊。"

Starke補(bǔ)充說(shuō)，在一些惠普機(jī)型中，有一些緩解措施需要被繞過(guò)才能使漏洞發(fā)揮作用，包括惠普的Sure Start系統(tǒng)，該系統(tǒng)可以檢測(cè)到固件運(yùn)行時(shí)間被篡改的情況。

受該漏洞影響的設(shè)備相當(dāng)廣泛，包括商務(wù)筆記本電腦，如Elite Dragonfly、EliteBooks和ProBooks；商務(wù)臺(tái)式電腦，包括EliteDesk和EliteOne；零售點(diǎn)專用電腦，如Engage；臺(tái)式工作站電腦（Z1、Z2系列）；還有四個(gè)瘦客戶端電腦。

你可以在這里看到受影響的惠普設(shè)備和相應(yīng)的SoftPaqs的完整列表，并非所有的設(shè)備都已收到更新：https://support.hp.com/us-en/document/ish_6184733-6184761-16/hpsbhf03788

更多精彩內(nèi)容敬請(qǐng)關(guān)注UC電腦園！