HP 近日就 BIOS 的兩項漏洞進行更新，修復了編號為 CVE-2021-3808 及 CVE-2021-3809 的漏洞，指有關漏洞影響廣泛的 PC 及手提電腦，允許代碼以內核權限運行。由於內核權限是最高的權限，允許攻擊者執行任何命令，因此是次漏洞能令黑客可於設備的 BIOS 植入無法透過傳統殺毒軟件，或重新安裝操作系統清除的惡意軟件。根據 CVSS 系統評分，兩項漏洞的風險達 8.8，屬高嚴重程度，但 HP 暫未提供漏洞的技術細節。
受漏洞影響的裝置眾多，HP 已將所有受影響型號詳細列於 HP 安全諮詢頁面，包括 Elite Dragonfly、ProBook、Zbook Studio、ZHAN Pro、EliteBook 等商務手提電腦；EliteDesk、ProDesk 等商務 PC；Engage等零售 PoS 電腦；Z1、Z2 系列等台式工作站電腦等，共 200 多款裝置。
安全研究人員 Nicholas Starke 早於去年 11 月已發展有關漏洞，稱漏洞允許以內核級權限（CPL==0）執行的攻擊者可提升權限至系統管理模式（SMM）。在 SMM 模式下，攻擊者可擁有對主機的全部權限，完整掌控系統以實施攻擊。
資料來源：BleepingComputer
—
unwire.hk Mewe 專頁 : https://mewe.com/p/unwirehk