A Binarly biztonsági kutatói kiritkus sérülékenységeket fedeztek fel az InsydeH2O által gyártott UEFI firmware-ekben, amelyeket rengeteg számítástechnikai eszköz gyártó is használ, többek között például a Fujitsu, Intel, AMD, Lenovo, Dell, ASUS, HP, Siemens, Microsoft, és az Acer is. A cég összesen 23 sérülékenységet azonosított, ezek többségükben a System Management Mode-ot (SMM) érintik, ami különböző rendszerszintű ─ például energiafelhasználási és hardver-irányítási ─ funkciókért felel. A sebezhetőségek közül három (CVE-2021-45969, CVE-2021-45970, CVE-2021-45971) kritikus kockázati besorolású.
Az SMM funkciók az eszközre telepített operációs rendszerénél magasabb jogosultsági szinten futnak, ezért az ezeket érintő biztonsági hibák komoly biztonsági kitettséget jelentenek. Egy támadó adminisztrátori szintű jogosultságot szerezve távolról érvényteleníthet egyes hardveres biztonsági elemeket ─ mint például a SecureBoot, vagy az Intel BootGuard ─, nehezen észlelhető és eltávolítható káros kódot telepíthet, valamint backdoort is elhelyezhetnek, amellyel a felhasználó tudta nélkül szenzitív információkat szerezhet.
Hibajavítás
Az Insyde már adott ki firmware javtást, valamint a sebezhetőségekről részletesebb információt is közölt.
Ugyanakkor a végfelhasználói eszközök csak akkor kapják meg ezt a frissítést, amennyiben az eszköz gyártója (OEM) azt elérhetővé teszi, ami hosszabb időt vehet igénybe. A BleepingComputer publikációjának megjelenésekor csupán az Insyde, a Fujitsu és az Intel ismerte el az érintettségét, a Rockwell, Supermicro, és Toshiba jelezte, hogy nem érintett a hibákban, a többi gyártó pedig jelenleg még vizsgálja az esetleges érintettségét.
Az NBSZ NKI javasolja a gyártói firmware frissítések mielőbbi telepítését, amint azok elérhetővé válnak.
