A HP BIOS (UEFI firmware) frissítést adott ki két magas kockázati besorolású sérülékenység (CVE-2021-3808, CVE-2021-3809) javításához, amelyek az érintett termékek esetében kernel szintű kódfuttatást tehetnek lehetővé.
A sérülékenységben érintett BIOS verziók között találhatóak üzleti kategóriás laptopok (például: Zbook Studio, ZHAN Pro, EliteBook, ProBook, Elite Dragonfly) és asztali gépek (EliteDesk, ProDesk), sőt kiskereskedelmi PoS (Point of sale) számítógépek is, mint például az Engage. A teljes lista megtalálható a HP biztonsági közleményében.
A gyártó hivatalosan nem közölt bővebb technikai információt a sérülékenységekről, azonban a sebezhetőségeket felfedező kutató saját blogján közzétettek szerint az SMI handler hibás működése felel a problémáért. Egy támadó sikeres kihasználás esetén újraflashelheti a BIOS-t, ezzel potenciálisan olyan káros kódokat ültetve el, amelyek eltávolítása hagyományos vírusirtókkal nem lehetséges. Szerencsére egy ilyen támadás kivitelezése sem egy egyszerű feladat, a támadónak ehhez már eleve root/SYSTEM szintű jogosultsággal kell rendelkeznie az érintett rendszeren, illetve egyes HP modellek esetében plusz védelmi megoldásokat (például HP Sure Start) is meg kell kerülnie.
Természetesen ettől függetlenül az érintett eszközök tulajdonosai számára mindenképp javasolt a firmware frissítése a legújabb verzióra!
