Affected Dell Client platforms contain a BIOS Setup configuration authentication bypass vulnerability in the pre-boot Intel Rapid Storage Re

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• dell chengming 3980 firmwareдо 2.13.0
• dell embedded box pc 5000 firmwareдо 1.6.0
• dell g3 3579 firmwareдо 1.10.0
• dell g3 3590 firmwareдо 1.4.3
• dell g3 3779 firmwareдо 1.10.0
• dell g5 5587 firmwareдо 1.11.1
• dell g5 5590 firmwareдо 1.8.0
• dell g7 7588 firmwareдо 1.11.1
• dell g7 7590 firmwareдо 1.8.0
• dell g7 7790 firmwareдо 1.8.0
• dell inspiron 14 gaming 7466 firmwareдо 1.5.0
• dell inspiron 14 gaming 7467 firmwareдо 1.10.0
• dell inspiron 15 7572 firmwareдо 1.2.1
• dell inspiron 15 gaming 7566 firmwareдо 1.5.0
• dell inspiron 15 gaming 7567 firmwareдо 1.10.0
• dell inspiron 15 gaming 7577 firmwareдо 1.8.0
• dell inspiron 3470 firmwareдо 2.13.0
• dell inspiron 3480 firmwareдо 1.5.1
• dell inspiron 3481 firmwareдо 1.4.0
• dell inspiron 3580 firmwareдо 1.5.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (dell). Не зависят от анализа CPE в NVD и обычно опережают его.

• Dell Dell Client Consumer and Commercial Platforms

  • https://www.dell.com/support/article/SLN320337затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-29083Prior Dell BIOS versions contain an Improper Authentication vulnerability.
  27Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Функция, добавленная для разработки или поддержки, попадает в продуктивную среду без аутентификации. Нередко расчёт делается на то, что она «доступна только из внутренней сети».

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1// Добавлено для службы поддержки2app.post("/maintenance/reset", resetDevice);

1if (config.maintenanceEnabled) {2  app.post(3    "/maintenance/reset",4    requireSession, requireRole("admin"), resetDevice5  );6}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.