DSA-2021-106：DellクライアントBIOSの一部としてのBIOSConnectおよびHTTPS Boot機能における複数の脆弱性に対するDellクライアント プラットフォーム セキュリティ アップデート

専用コードCVE	説明	CVSS基本スコア	CVSS Vector文字列
CVE-2021-21571	Dell BIOSConnect機能とDell HTTPS Boot機能によって活用されるDell UEFI BIOS HTTPSスタックには、不適切な証明書検証の脆弱性が含まれています。リモートの認証されていない攻撃者が中間者攻撃を使用してこの脆弱性を悪用し、サービス妨害やペイロードの改ざんにつながる可能性があります。	5.9	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H
CVE-2021-21572、 CVE-2021-21573、 CVE-2021-21574	Dell BIOSConnect機能には、バッファー オーバーフローの脆弱性が含まれています。システムへのローカル アクセス権を持つ認証済みの悪意のある管理者ユーザーは、この脆弱性を悪用して任意のコードを実行し、UEFI制限をバイパスする可能性があります。	7.2	CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H

Dell BIOSConnectおよびHTTPS Boot機能の説明：

• Dell BIOSConnect機能は、Dellクライアント プラットフォームでSupportAssist OS Recoveryを使用して、システムBIOSをアップデートし、オペレーティング システム（OS）を回復するために使用されるDellの起動前ソリューションです。注：BIOSConnectでは、この機能を開始するために物理的に存在するユーザーが必要です。影響を受けるのは、BIOSConnect機能を備えたプラットフォームの一部のみです。影響を受けるプラットフォームについては、以下の「その他の情報」セクションの表を参照してください。
• Dell HTTPS Boot機能は、HTTP（S）サーバーから起動するためのUEFI HTTPS Boot仕様の拡張機能です。注：この機能はデフォルトでは設定されていないため、ローカルOS管理者権限を持つ物理的に存在するユーザーが構成する必要があります。さらに、ワイヤレス ネットワークで使用する場合は、物理的に存在するユーザーが機能を開始する必要があります。HTTPS Boot機能はすべてのプラットフォームに含まれているわけではありません。影響を受けるプラットフォームのリストについては、以下の「その他の情報」セクションの表を参照してください。

上記の脆弱性は脆弱性チェーンとして報告されました。脆弱性チェーンの累積スコアは次のとおりです。8.3 高CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H。

チェーンを悪用するには、次の追加の手順が必要です。

• BIOSConnectの脆弱性チェーンを悪用するには、悪意のある攻撃者は、ユーザーのネットワークを侵害し、Dell UEFI BIOS HTTPSスタックの組み込み認証局のいずれかで信頼されている証明書を取得し、システムに物理的に存在するユーザーがBIOSConnect機能を使用するのを待つなど、悪用を成功させる前に別の手順を実行する必要があります。
• HTTPS Bootの脆弱性を悪用するには、悪意のある攻撃者は、ユーザーのネットワークを侵害し、Dell UEFI BIOS HTTPSスタックの組み込み認証局によって信頼されている証明書を取得し、システムに物理的に存在するユーザーが起動順序を変更してHTTPS Boot機能を使用するのを待つなど、悪用を成功させる前に追加の手順を個別に実行する必要があります。

お客様は、以下の修復を適用することに加えて、セキュアなネットワークのみを使用し、デバイスへのローカルおよび物理的な不正アクセスを防止することで、セキュリティのベスト プラクティスに従い、自分自身をさらに保護することができます。また、セキュア ブート（Windows搭載のDellプラットフォームではデフォルトで有効）やBIOS管理者パスワードなどのプラットフォーム セキュリティ機能を有効にして保護を強化する必要もあります。

メモ：セキュア ブートが無効になっている場合、CVE-2021-21571セキュリティ脆弱性に関連する潜在的な重大度に影響を与える可能性があります。

CVE-2021-21573およびCVE-2021-21574は、2021年5月28日にDellのバックエンド サーバー上のBIOSConnect関連コンポーネントで修正されました。追加のお客様のアクションは必要ありません。

CVE-2021-21571およびCVE-2021-21572では、脆弱性に対処するためにDellクライアントのBIOSアップデートが必要です。お使いのシステムに適用できる修正済みDellクライアントBIOSのバージョンを確認するには、「その他の情報」セクションにある表を参照してください。DellクライアントBIOSをアップデートするには、複数の方法があります。通常BIOSConnectを使用してBIOSをアップデートしている場合は、次のような別の方法でBIOSアップデートを適用することをお勧めします。

• Dellの通知ソリューションのいずれかを使用して、BIOSアップデートが利用可能になると通知を受け取り自動的にダウンロードします。
• 該当製品のアップデートについては、［ドライバーおよびダウンロード］サイトを参照してください。詳細についてはデルのナッレジ ベース文書「デルBIOSアップデート」を参照して、お使いのデル コンピューターのアップデートをダウンロードしてください。
• 「F12 One-Time Boot MenuからのBIOSのフラッシュ」を参照してください。

BIOSアップデートをすぐに適用できない場合、Dellでは、BIOSConnectおよびHTTPS Boot機能を無効にする暫定的な緩和策も提供しています。以下のセクションを参照してください。