安全公司Eclypsium的研究人员公开披露，由于外围组件的固件未签名，戴尔，惠普，联想和其他公司销售的数百万个Windows和Linux系统容易受到攻击。
根据研究人员的说法，至少从2015年起，供应商和攻击者都已经知道这种攻击媒介。但是，供应商似乎并不急于签署其固件。笔记本电脑摄像头，网络接口卡，触控板，USB集线器和Wi-Fi适配器的未签名固件使数百万个系统容易受到数据盗窃和勒索软件的攻击。
Dell XPS 15 9560无线适配器
研究人员发现，可以修改XPS 15 9560无线适配器的固件，使攻击者可以接管该设备。当与戴尔，高通公司(由其芯片为无线适配器供电)和微软进行联系时，这三家公司似乎相互指责。
高通公司表示，运行在CPU顶部的软件应验证固件的安全性。戴尔表示，正在与供应商合作，以了解安全问题的影响，微软表示，驱动程序制造商需要确保固件的安全性。
HP宽视野FHD相机
研究人员发现，HP Spectre X360 13英寸可转换笔记本电脑中HP Wide-Vision FHD摄像机的固件更新也没有加密和身份验证检查。也可以使用HP提供的工具轻松修改固件。
好消息是，惠普告诉Eclypsium研究人员，未来的相机将带有签名的固件。但是，他们没有指定固件更新是否也将被加密。此外，惠普基本上说，现有的相机和设备将仍然脆弱。
联想ThinkPad触摸板和触控板
研究人员还发现联想ThinkPad X1 Carbon 6th Gen笔记本电脑的触摸板固件存在安全问题-Synaptics触摸板和Trackpoint的固件未收到加密和签名的更新。
联想告诉Eclypsium，它意识到了这个问题，并鼓励其供应商为子孙后代解决它。
Synaptics的PC部门副总裁Stephen Schultis似乎对该问题更加不屑一顾，认为其固件不需要密码签名，因为该代码是专有的。舒尔蒂斯(Schultis)暗示，由于该代码是专有的，这意味着攻击者很难利用它。
但是，现实是另一回事。供应商已经成为供应链攻击的目标，这种攻击在过去几年中有所增加，因为利用PC中的组件意味着您可以接管数百万台PC。
此外，专有代码很少阻止坚定的攻击者，特别是当访问固件就像购买具有Synaptics触摸板的笔记本电脑一样容易时。
Linux USB集线器和Broadcom网络接口卡
研究人员还研究了Linux供应商固件服务，并发现了未签名的USB集线器固件。他们还攻击了当前服务器随附的许多网络接口卡(NIC)中使用的Broadcom BCM5719芯片组的未签名固件。
该卡已连接到PCI总线，可以直接访问内存，因此可以完全接管服务器。Broadcom尚未就此问题发表声明。
那么，谁需要修复外围固件安全性?
经过所有这些研究之后，Eclypsium的研究人员对于谁负责固件安全(如果有的话)甚至感到困惑。但是，他们不认为驱动程序的安全性应该位于驱动程序内部，因为具有对计算机特权访问权限的恶意方很容易将恶意固件替换为干净的固件。
因此，驱动程序本身以外的其他安全层需要防止这种情况的发生。最近我们看到攻击者已经开始进行这种攻击，因为它也绕过了防病毒保护。
Eclypsium的研究人员也发出了可怕的警告，称这种类型的攻击无法由用户轻松缓解，但目前，这些攻击的最大目标可能是企业公司和数据中心。这些攻击允许数据泄漏和勒索软件，使其非常适合用于商业计算机和服务器。
标签：
免责声明：本文由用户上传，如有侵权请联系删除！