近日，美国电脑巨头戴尔被曝12年驱动漏洞，CVE编号CVE-2021-21551，该漏洞可能导致系统提权，预计将有超过数亿台戴尔台式机和笔记本电脑受到该漏洞的影响。CVE-2021-21551：5合1漏洞CVE-2021-21551漏洞实际上是5个漏洞的集合。这是戴尔计算机在BIOS更新过程中安装和加载的驱动程序DBUtil中的一个安全漏洞。这5个漏洞分别是：这5个漏洞除了会导致提权外，还存在代码逻辑问题，可能导致DoS攻击。SentinelOne研究员KasifDekel表示，利用该漏洞可以将非管理员用户的权限提升到内核模式权限。然后可以不受限制地访问系统上的硬件资源，包括引用任意内存地址。攻击者需要提前侵入计算机系统才能利用此类漏洞，因此利用难度相对较大。但是攻击者和恶意软件可以在受感染的系统上驻留。研究人员提供了有关该漏洞的技术细节，包括它是如何触发的以及如何被利用。有关完整的技术细节，请参阅：https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/利用该漏洞进行本地提权的PoC视频可见于：https://assets.sentinelone.com/labs/戴尔研究人员计划在6月1日分析PoC漏洞利用代码，敦促戴尔修复该漏洞尽快地。德克尔表示，戴尔已经针对该漏洞准备了修复方案，并提供了修复后的驱动程序，但截至目前，戴尔并未吊销存在该漏洞驱动程序的证书，这意味着攻击者仍然可以发起利用该漏洞的攻击。尽管许多设备受到影响，但目前尚未发现该漏洞的野蛮利用。本文翻译自：https://www.bleepingcomputer.com/news/security/vulnerable-dell-driver-puts-hundreds-of-millions-of-systems-at-risk/如有转载请注明原文地址.
