高權限攻擊者可以利用這些漏洞，在目標設備的BIOS/UEFI上執行任意代碼，即使采用安全啟動（Secure Boot）功能的設備也受影響。

　　6月24日，安全研究人員披露了一系列戴爾終端BIOS系統中BIOSConnect功能所存在的漏洞，高權限攻擊者可以利用這些漏洞，在目標設備的BIOS/UEFI上獲得執行任意代碼的能力。

　　BIOS系統是一組固化到計算機主板上一個ROM芯片上的程序，主要功能是為計算機提供最底層的、最直接的硬件設置和控制。

　　美國企業級設備安全廠商Eclypsium的研究人員強調，“攻擊者能夠在這套預啟動環境下遠程執行代碼，換而言之，對方完全有能力入侵操作系統并破壞設備的整體可信度。這類攻擊能在設備上獲得最高控制權限，攻擊者將會積極嘗試利用?！?/p>

　　這一系列漏洞影響到了128款戴爾旗下設備型號，涵蓋消費級與商務筆記本電腦、臺式機以及平板電腦，估計設備總數量約為3000萬臺。更糟糕的是，這些漏洞還會影響到采用安全啟動（Secure Boot）功能的計算機，該功能可以防止設備啟動時將rootkit加載至內存當中。

　　BIOSConnect負責提供基于網絡的啟動恢復功能，允許BIOS通過HTTPS連接到戴爾的后端服務器，下載操作系統鏡像，幫助用戶在本地磁盤鏡像損壞、需要替換或者暫時缺失時仍能順利完成系統恢復。

　　一旦上述漏洞遭到利用，設備完整性將被嚴重破壞，攻擊者能夠在預啟動環境中遠程執行惡意代碼、進而改變操作系統的初始狀態并破壞操作系統層級的安全保護。

　　Eclypsium公司發現的四個漏洞具體如下：

　　CVE-2021-21571：從BIOS到戴爾的非安全TLS連接，惡意攻擊者可能冒名頂替Dell.com并將惡意代碼傳送回受害者的設備。

　　CVE-2021-21572、CVE-2021-21573與CVE-2021-21574 ：允許執行任何代碼的溢出漏洞

　　研究人員表示，這種遠程利用乃至控制設備上的最高權限代碼的可能性，往往會令惡意攻擊者們趨之若鶩。

　　Eclypsium公司早在今年3月3日就已經向戴爾報告了上述問題，戴爾則隨后于5月28日發布了服務器端更新以修復CVE-2021-21573 與 CVE-2021-21574。此外，戴爾也發布了BIOS固件更新，順利解決了其余兩項漏洞。

　　此外，戴爾公司還設計出一套變通方案，幫助無法立即安裝補丁的客戶及時禁用BIOSConnect與HTTPS啟動功能。

　　Eclypsium研究人員們總結道，“一旦成功突破設備BIOS，攻擊者將獲得極高的設備控制權限。他們能夠控制主機加載操作系統的過程，并通過禁用保護機制隱藏起自己的行動痕跡。有了這樣的基礎，攻擊者完全能夠在掌控設備最高權限的同時保持長期駐留?！?/p>