Passa al contenuto principale
  • Effettua gli ordini in modo rapido e semplice
  • Visualizza gli ordini e monitora lo stato della spedizione
  • Crea e accedi a un elenco dei tuoi prodotti
  • Gestisci i siti, i prodotti e i contatti per livello di prodotto di Dell EMC tramite l'amministrazione della società.

DSA-2021-106: Dell clientplatform-beveiligingsupdate voor meerdere beveiligingslekken in de functies van BIOSConnect en HTTPS Boot als onderdeel van de Dell Client BIOS

Riepilogo: Dell brengt oplossingen uit voor meerdere beveiligingsproblemen die van invloed zijn op de BIOSConnect- en HTTPS Boot-functies.

È possibile che questo articolo sia stato tradotto automaticamente. Se desideri fornire un riscontro sulla sua qualità, contattaci utilizzando il modulo in fondo a questa pagina.

Contenuto dell'articolo


Impatto

High

Dettagli
Eigen code CVE's Beschrijving CVSS basisscore CVSS vectortekenreeks
CVE-2021-21571 Dell UEFI BIOS https-stack die wordt gebruikt door de Dell BIOSConnect-functie en Dell HTTPS Boot-functie bevat een beveiligingslek met betrekking tot onjuiste certificaatvalidatie. Een externe niet-geautoriseerde aanvaller kan misbruik maken van dit beveiligingslek met behulp van een person-in-the-middle-aanval die kan leiden tot een denial of service en een manipulatie van de payload. 5.9 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H
CVE-2021-21572,
CVE-2021-21573,
CVE-2021-21574
Dell BIOSConnect-functie bevat een beveiligingslek met betrekking tot een bufferoverschrijding. Een geautoriseerde kwaadwillende gebruiker met lokale toegang tot het systeem kan mogelijk misbruik maken van dit beveiligingslek om willekeurige code uit te voeren en UEFI-beperkingen te omzeilen. 7.2 CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
 


Beschrijving van de functies van de Dell BIOSConnect en HTTPS Boot:
  • De Dell BIOSConnect-functie is een Dell preboot-oplossing die wordt gebruikt voor het updaten van het systeem-BIOS en het herstellen van het besturingssysteem (OS) met behulp van SupportAssist OS Recovery op Dell clientplatforms. Opmerking: BIOSConnect vereist een fysiek aanwezige gebruiker om deze functie te starten. Alleen een subset van platforms met de BIOSConnect-functie wordt beïnvloed. Zie de tabel onder Aanvullende informatie hieronder voor de betroffen platforms.
  • De functie Dell HTTPS Boot is een uitbreiding van UEFI HTTP Boot-specificaties om op te starten vanaf een HTTP(S)-server. Opmerking: Deze functie is standaard niet geconfigureerd en vereist een fysiek aanwezige gebruiker met lokale OS-beheerdersrechten om te configureren. Bovendien is een fysiek aanwezige gebruiker verplicht om de functie te starten wanneer deze wordt gebruikt met draadloze netwerken. Niet alle platforms bevatten de HTTPS Boot-functie. Zie de tabel onder het gedeelte Aanvullende informatie hieronder voor een lijst met betroffen platforms.
De bovenstaande beveiligingslekken zijn gemeld als een keten van het beveiligingslek. De cumulatieve score van de beveiligingslek-keten is: 8.3 Hoog CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H.

Misbruik van de keten vereist aanvullende stappen:
  • Om misbruik te maken van de beveiligingslek-keten in BIOSConnect, moet een kwaadwillende actor afzonderlijke aanvullende stappen uitvoeren voordat een succesvol misbruik kan worden uitgevoerd, waaronder: het netwerk van een gebruiker in gevaar brengen, een certificaat verkrijgen dat wordt vertrouwd door een van de ingebouwde certificeringsinstanties van de Dell UEFI BIOS https-stack en wachten op een gebruiker die fysiek op het systeem aanwezig is om de BIOSConnect-functie te gebruiken.
  • Om misbruik te kunnen maken van het beveiligingslek in HTTPS Boot, moet een kwaadwillende actor afzonderlijke stappen uitvoeren voordat een succesvol misbruik kan worden uitgevoerd, waaronder: het netwerk van een gebruiker in gevaar brengen, een certificaat verkrijgen dat wordt vertrouwd door een van de ingebouwde certificeringsinstanties van de Dell UEFI BIOS https-stack en wachten op een gebruiker die fysiek op het systeem aanwezig is om de opstartvolgorde te wijzigen en de HTTPS Boot-functie gebruikt.
Naast het toepassen van de onderstaande oplossingen, kunnen klanten zichzelf verder beschermen door de aanbevolen werkwijzen voor beveiligingsmaatregelen te volgen door alleen beveiligde netwerken te gebruiken en niet-geautoriseerde lokale en fysieke toegang tot apparaten te voorkomen. Klanten dienen ook functies voor platformbeveiliging in te schakelen, zoals Secure Boot (standaard ingeschakeld voor Dell platforms met Windows) en BIOS-adminwachtwoord voor extra bescherming.

Opmerking: Als Secure Boot is uitgeschakeld, kan dit van invloed zijn op de potentiële ernst die is gekoppeld aan het beveiligingslek CVE-2021-21571.
Eigen code CVE's Beschrijving CVSS basisscore CVSS vectortekenreeks
CVE-2021-21571 Dell UEFI BIOS https-stack die wordt gebruikt door de Dell BIOSConnect-functie en Dell HTTPS Boot-functie bevat een beveiligingslek met betrekking tot onjuiste certificaatvalidatie. Een externe niet-geautoriseerde aanvaller kan misbruik maken van dit beveiligingslek met behulp van een person-in-the-middle-aanval die kan leiden tot een denial of service en een manipulatie van de payload. 5.9 CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H
CVE-2021-21572,
CVE-2021-21573,
CVE-2021-21574
Dell BIOSConnect-functie bevat een beveiligingslek met betrekking tot een bufferoverschrijding. Een geautoriseerde kwaadwillende gebruiker met lokale toegang tot het systeem kan mogelijk misbruik maken van dit beveiligingslek om willekeurige code uit te voeren en UEFI-beperkingen te omzeilen. 7.2 CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
 


Beschrijving van de functies van de Dell BIOSConnect en HTTPS Boot:
  • De Dell BIOSConnect-functie is een Dell preboot-oplossing die wordt gebruikt voor het updaten van het systeem-BIOS en het herstellen van het besturingssysteem (OS) met behulp van SupportAssist OS Recovery op Dell clientplatforms. Opmerking: BIOSConnect vereist een fysiek aanwezige gebruiker om deze functie te starten. Alleen een subset van platforms met de BIOSConnect-functie wordt beïnvloed. Zie de tabel onder Aanvullende informatie hieronder voor de betroffen platforms.
  • De functie Dell HTTPS Boot is een uitbreiding van UEFI HTTP Boot-specificaties om op te starten vanaf een HTTP(S)-server. Opmerking: Deze functie is standaard niet geconfigureerd en vereist een fysiek aanwezige gebruiker met lokale OS-beheerdersrechten om te configureren. Bovendien is een fysiek aanwezige gebruiker verplicht om de functie te starten wanneer deze wordt gebruikt met draadloze netwerken. Niet alle platforms bevatten de HTTPS Boot-functie. Zie de tabel onder het gedeelte Aanvullende informatie hieronder voor een lijst met betroffen platforms.
De bovenstaande beveiligingslekken zijn gemeld als een keten van het beveiligingslek. De cumulatieve score van de beveiligingslek-keten is: 8.3 Hoog CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H.

Misbruik van de keten vereist aanvullende stappen:
  • Om misbruik te maken van de beveiligingslek-keten in BIOSConnect, moet een kwaadwillende actor afzonderlijke aanvullende stappen uitvoeren voordat een succesvol misbruik kan worden uitgevoerd, waaronder: het netwerk van een gebruiker in gevaar brengen, een certificaat verkrijgen dat wordt vertrouwd door een van de ingebouwde certificeringsinstanties van de Dell UEFI BIOS https-stack en wachten op een gebruiker die fysiek op het systeem aanwezig is om de BIOSConnect-functie te gebruiken.
  • Om misbruik te kunnen maken van het beveiligingslek in HTTPS Boot, moet een kwaadwillende actor afzonderlijke stappen uitvoeren voordat een succesvol misbruik kan worden uitgevoerd, waaronder: het netwerk van een gebruiker in gevaar brengen, een certificaat verkrijgen dat wordt vertrouwd door een van de ingebouwde certificeringsinstanties van de Dell UEFI BIOS https-stack en wachten op een gebruiker die fysiek op het systeem aanwezig is om de opstartvolgorde te wijzigen en de HTTPS Boot-functie gebruikt.
Naast het toepassen van de onderstaande oplossingen, kunnen klanten zichzelf verder beschermen door de aanbevolen werkwijzen voor beveiligingsmaatregelen te volgen door alleen beveiligde netwerken te gebruiken en niet-geautoriseerde lokale en fysieke toegang tot apparaten te voorkomen. Klanten dienen ook functies voor platformbeveiliging in te schakelen, zoals Secure Boot (standaard ingeschakeld voor Dell platforms met Windows) en BIOS-adminwachtwoord voor extra bescherming.

Opmerking: Als Secure Boot is uitgeschakeld, kan dit van invloed zijn op de potentiële ernst die is gekoppeld aan het beveiligingslek CVE-2021-21571.
Dell Technologies raccomanda a tutti i clienti di prendere in considerazione sia il punteggio base CVSS, sia ogni eventuale punteggio temporale o ambientale che possa avere effetti sul livello di gravità potenziale associato a una specifica vulnerabilità di sicurezza.
Prodotti interessati e correzione
CVE-2021-21573 en CVE-2021-21574 zijn op 28 mei 2021 opgelost in de aan BIOSConnect gerelateerde onderdelen op Dell back-endservers en vereisen geen verdere actie van de klant.

Voor CVE-2021-21571 en CVE-2021-21572 zijn BIOS-updates voor Dell clients vereist om de beveiligingslekken op te lossen. Zie de tabel onder het gedeelte Aanvullende informatie om te bepalen welke versie van het herstelde Dell Client BIOS op uw systeem moet worden toegepast. Er zijn meerdere manieren om uw Dell Client BIOS bij te werken. Als u gewoonlijk BIOSConnect gebruikt om uw BIOS bij te werken, raadt Dell u aan een andere methode te gebruiken om de BIOS-updates toe te passen, zoals: Voor diegenen die niet onmiddellijk BIOS-updates kunnen toepassen, heeft Dell ook een tijdelijke oplossing geboden om de functies van BIOSConnect en HTTPS Boot uit te schakelen. Zie het onderstaande gedeelte.
CVE-2021-21573 en CVE-2021-21574 zijn op 28 mei 2021 opgelost in de aan BIOSConnect gerelateerde onderdelen op Dell back-endservers en vereisen geen verdere actie van de klant.

Voor CVE-2021-21571 en CVE-2021-21572 zijn BIOS-updates voor Dell clients vereist om de beveiligingslekken op te lossen. Zie de tabel onder het gedeelte Aanvullende informatie om te bepalen welke versie van het herstelde Dell Client BIOS op uw systeem moet worden toegepast. Er zijn meerdere manieren om uw Dell Client BIOS bij te werken. Als u gewoonlijk BIOSConnect gebruikt om uw BIOS bij te werken, raadt Dell u aan een andere methode te gebruiken om de BIOS-updates toe te passen, zoals: Voor diegenen die niet onmiddellijk BIOS-updates kunnen toepassen, heeft Dell ook een tijdelijke oplossing geboden om de functies van BIOSConnect en HTTPS Boot uit te schakelen. Zie het onderstaande gedeelte.
Soluzioni alternative e mitigazioni

Dell raadt alle klanten aan de nieuwste Dell Client BIOS-versie zo snel mogelijk bij te werken. Klanten die ervoor kiezen BIOS-updates niet onmiddellijk toe te passen of die dit nu niet kunnen doen, moeten de onderstaande beperking toepassen.

BIOSConnect:

Klanten kunnen de functie BIOSConnect uitschakelen door een van de volgende twee opties te gebruiken:
Optie 1: Klanten kunnen BIOSConnect uitschakelen op de pagina BIOS Setup (F2).
Opmerking: Klanten kunnen de optie BIOSConnect vinden onder verschillende menu-interfaces van BIOS Setup, afhankelijk van hun platformmodel. Deze worden hieronder weergegeven als BIOS Setup-menu Type A en BIOS Setup-menu Type B.
BIOS Setup-menu Type A: F2 > Update, Recovery > BIOSConnect > schakel dit uit.
BIOS Setup-menu Type B: F2 > Settings > SupportAssist System Resolution > BIOSConnect > schakel de optie BIOSConnect uit.
 
Optie 2: Klanten kunnen gebruikmaken van de tool Remote System Management van Dell Command | Configure (DCC) om de BIOS-instellingen van BIOSConnect uit te schakelen.
 
Opmerking: Dell raadt klanten aan om "BIOS Flash Update - Remote" vanaf F12 niet uit te voeren totdat het systeem is bijgewerkt met een herstelde versie van het BIOS.

HTTPS Boot:
Klanten kunnen de functie HTTPS Boot uitschakelen met behulp van een van de volgende twee opties:
Optie 1: Klanten kunnen BIOSConnect uitschakelen op de pagina BIOS Setup (F2).
BIOS Setup-menu Type A: F2 > Connection > HTTP(s) Boot > schakel dit uit.
BIOS Setup-menu Type B: F2 > Settings > SupportAssist System Resolution > BIOSConnect > schakel de optie BIOSConnect uit.
Optie 2: Klanten kunnen gebruikmaken van de Remote System Management-tool van Dell Command | Configure (DCC) om de ondersteuning voor HTTP Boot uit te schakelen.

Ringraziamenti

Dell wil Mickey Shkatov en Jesse Michael van Eclypsium bedanken voor het melden van dit probleem.

Cronologia delle revisioni

RevisieDatumBeschrijving
1.024-6-2021Eerste release

Informazioni correlate

Dell Security Advisories and Notices
Dell Vulnerability Response Policy
CVSS Scoring Guide

Informazioni aggiuntive

Hieronder vindt u een lijst met betroffen producten en releasedatums en minimale BIOS-versies die moeten worden toegepast:   
 

Product BIOS-updateversie
(of hoger)
Ondersteunt BIOSConnect Ondersteunt HTTP(s) Boot Releasedatum (DD-MM-JJJJ)
Verwachte release (maand/JJJJ)
Alienware m15 R6 1.3.3 Ja Ja 21-6-2021
ChengMing 3990 1.4.1 Ja Nee 23-6-2021
ChengMing 3991 1.4.1 Ja Nee 23-6-2021
Dell G15 5510 1.4.0 Ja Ja 21-6-2021
Dell G15 5511 1.3.3 Ja Ja 21-6-2021
Dell G3 3500 1.9.0 Ja Nee 24-6-2021
Dell G5 5500 1.9.0 Ja Nee 24-6-2021
Dell G7 7500 1.9.0 Ja Nee 23-6-2021
Dell G7 7700 1.9.0 Ja Nee 23-6-2021
Inspiron 14 5418 2.1.0 A06 Ja Ja 24-6-2021
Inspiron 15 5518 2.1.0 A06 Ja Ja 24-6-2021
Inspiron 15 7510 1.0.4 Ja Ja 23-6-2021
Inspiron 3501 1.6.0 Ja Nee 23-6-2021
Inspiron 3880 1.4.1 Ja Nee 23-6-2021
Inspiron 3881 1.4.1 Ja Nee 23-6-2021
Inspiron 3891 1.0.11 Ja Ja 24-6-2021
Inspiron 5300 1.7.1 Ja Nee 23-6-2021
Inspiron 5301 1.8.1 Ja Nee 23-6-2021
Inspiron 5310 2.1.0 Ja Ja 23-6-2021
Inspiron 5400 2n1 1.7.0 Ja Nee 23-6-2021
Inspiron 5400 AIO 1.4.0 Ja Nee 23-6-2021
Inspiron 5401 1.7.2 Ja Nee 23-6-2021
Inspiron 5401 AIO 1.4.0 Ja Nee 23-6-2021
Inspiron 5402 1.5.1 Ja Nee 23-6-2021
Inspiron 5406 2n1 1.5.1 Ja Nee 23-6-2021
Inspiron 5408 1.7.2 Ja Nee 23-6-2021
Inspiron 5409 1.5.1 Ja Nee 23-6-2021
Inspiron 5410 2-in-1 2.1.0 Ja Ja 23-6-2021
Inspiron 5501 1.7.2 Ja Nee 23-6-2021
Inspiron 5502 1.5.1 Ja Nee 23-6-2021
Inspiron 5508 1.7.2 Ja Nee 23-6-2021
Inspiron 5509 1.5.1 Ja Nee 23-6-2021
Inspiron 7300 1.8.1 Ja Nee 23-6-2021
Inspiron 7300 2n1 1.3.0 Ja Nee 23-6-2021
Inspiron 7306 2n1 1.5.1 Ja Nee 23-6-2021
Inspiron 7400 1.8.1 Ja Nee 23-6-2021
Inspiron 7500 1.8.0 Ja Nee 23-6-2021
Inspiron 7500 2n1 - zwart 1.3.0 Ja Nee 23-6-2021
Inspiron 7500 2n1 - zilver 1.3.0 Ja Nee 23-6-2021
Inspiron 7501 1.8.0 Ja Nee 23-6-2021
Inspiron 7506 2n1 1.5.1 Ja Nee 23-6-2021
Inspiron 7610 1.0.4 Ja Ja 23-6-2021
Inspiron 7700 AIO 1.4.0 Ja Nee 23-6-2021
Inspiron 7706 2n1 1.5.1 Ja Nee 23-6-2021
Latitude 3120 1.1.0 Ja Nee 23-6-2021
Latitude 3320 1.4.0 Ja Ja 23-6-2021
Latitude 3410 1.9.0 Ja Nee 23-6-2021
Latitude 3420 1.8.0 Ja Nee 23-6-2021
Latitude 3510 1.9.0 Ja Nee 23-6-2021
Latitude 3520 1.8.0 Ja Nee 23-6-2021
Latitude 5310 1.7.0 Ja Nee 24-6-2021
Latitude 5310 2-in-1 1.7.0 Ja Nee 24-6-2021
Latitude 5320 1.7.1 Ja Ja 21-6-2021
Latitude 5320 2-in-1 1.7.1 Ja Ja 21-6-2021
Latitude 5410 1.6.0 Ja Nee 23-6-2021
Latitude 5411 1.6.0 Ja Nee 23-6-2021
Latitude 5420 1.8.0 Ja Ja 22-6-2021
Latitude 5510 1.6.0 Ja Nee 23-6-2021
Latitude 5511 1.6.0 Ja Nee 23-6-2021
Latitude 5520 1.7.1 Ja Ja 21-6-2021
Latitude 5521 1.3.0 A03 Ja Ja 22-6-2021
Latitude 7210 2-in-1 1.7.0 Ja Nee 23-6-2021
Latitude 7310 1.7.0 Ja Nee 23-6-2021
Latitude 7320 1.7.1 Ja Ja 23-6-2021
Latitude 7320 Detachable 1.4.0 A04 Ja Ja 22-6-2021
Latitude 7410 1.7.0 Ja Nee 23-6-2021
Latitude 7420 1.7.1 Ja Ja 23-6-2021
Latitude 7520 1.7.1 Ja Ja 23-6-2021
Latitude 9410 1.7.0 Ja Nee 23-6-2021
Latitude 9420 1.4.1 Ja Ja 23-6-2021
Latitude 9510 1.6.0 Ja Nee 23-6-2021
Latitude 9520 1.5.2 Ja Ja 23-6-2021
Latitude 5421 1.3.0 A03 Ja Ja 22-6-2021
OptiPlex 3080 2.1.1 Ja Nee 23-6-2021
OptiPlex 3090 UFF 1.2.0 Ja Ja 23-6-2021
OptiPlex 3280 alles-in-één 1.7.0 Ja Nee 23-6-2021
OptiPlex 5080 1.4.0 Ja Nee 23-6-2021
OptiPlex 5090 Tower 1.1.35 Ja Ja 23-6-2021
OptiPlex 5490 AIO 1.3.0 Ja Ja 24-6-2021
OptiPlex 7080 1.4.0 Ja Nee 23-6-2021
OptiPlex 7090 Tower 1.1.35 Ja Ja 23-6-2021
OptiPlex 7090 UFF 1.2.0 Ja Ja 23-6-2021
OptiPlex 7480 alles-in-één 1.7.0 Ja Nee 23-6-2021
OptiPlex 7490 alles-in-één 1.3.0 Ja Ja 24-6-2021
OptiPlex 7780 alles-in-één 1.7.0 Ja Nee 23-6-2021
Precision 17 M5750 1.8.2 Ja Nee 9-6-2021
Precision 3440 1.4.0 Ja Nee 23-6-2021
Precision 3450 1.1.35 Ja Ja 24-6-2021
Precision 3550 1.6.0 Ja Nee 23-6-2021
Precision 3551 1.6.0 Ja Nee 23-6-2021
Precision 3560 1.7.1 Ja Ja 21-6-2021
Precision 3561 1.3.0 A03 Ja Ja 22-6-2021
Precision 3640 1.6.2 Ja Nee 23-6-2021
Precision 3650 MT 1.2.0 Ja Ja 24-6-2021
Precision 5550 1.8.1 Ja Nee 23-6-2021
Precision 5560 1.3.2 Ja Ja 23-6-2021
Precision 5760 1.1.3 Ja Ja 16-6-2021
Precision 7550 1.8.0 Ja Nee 23-6-2021
Precision 7560 1.1.2 Ja Ja 22-6-2021
Precision 7750 1.8.0 Ja Nee 23-6-2021
Precision 7760 1.1.2 Ja Ja 22-6-2021
Vostro 14 5410 2.1.0 A06 Ja Ja 24-6-2021
Vostro 15 5510 2.1.0 A06 Ja Ja 24-6-2021
Vostro 15 7510 1.0.4 Ja Ja 23-6-2021
Vostro 3400 1.6.0 Ja Nee 23-6-2021
Vostro 3500 1.6.0 Ja Nee 23-6-2021
Vostro 3501 1.6.0 Ja Nee 23-6-2021
Vostro 3681 2.4.0 Ja Nee 23-6-2021
Vostro 3690 1.0.11 Ja Ja 24-6-2021
Vostro 3881 2.4.0 Ja Nee 23-6-2021
Vostro 3888 2.4.0 Ja Nee 23-6-2021
Vostro 3890 1.0.11 Ja Ja 24-6-2021
Vostro 5300 1.7.1 Ja Nee 23-6-2021
Vostro 5301 1.8.1 Ja Nee 23-6-2021
Vostro 5310 2.1.0 Ja Ja 23-6-2021
Vostro 5401 1.7.2 Ja Nee 23-6-2021
Vostro 5402 1.5.1 Ja Nee 23-6-2021
Vostro 5501 1.7.2 Ja Nee 23-6-2021
Vostro 5502 1.5.1 Ja Nee 23-6-2021
Vostro 5880 1.4.0 Ja Nee 23-6-2021
Vostro 5890 1.0.11 Ja Ja 24-6-2021
Vostro 7500 1.8.0 Ja Nee 23-6-2021
XPS 13 9305 1.0.8 Ja Nee 23-6-2021
XPS 13 2in1 9310 2.3.3 Ja Nee 23-6-2021
XPS 13 9310 3.0.0 Ja Nee 24-6-2021
XPS 15 9500 1.8.1 Ja Nee 23-6-2021
XPS 15 9510 1.3.2 Ja Ja 23-6-2021
XPS 17 9700 1.8.2 Ja Nee 9-6-2021
XPS 17 9710 1.1.3 Ja Ja 15-6-2021


Proprietà articolo


Prodotto interessato

Alienware m15 R6, Inspiron, OptiPlex, Latitude, Vostro, XPS

Prodotto

Product Security Information

Ultima data di pubblicazione

15 set 2021

Versione

5

Tipo di articolo

Dell Security Advisory