Varios meses después de encontrarse fallos de seguridad en el firmware de los dispositivos HP, portatiles de gama alta, estos siguen a día de hoy afectados por dichas vulnerabilidades.
Esta información fue revelada en primicia por Binarly, en concreto en el evento «Black Hat USA» celebrado en agosto y donde publicaron dichas vulnerabilidades, las cuales no podían ser detectadas por los sistemas de supervisión encargados de la integridad del firmware de los equipos afectados.
Este tipo de fallos suponen un gran riesgo ya que un atacante puede fácilmente aprovecharse de ellos de manera temporal e incluso lograr acceso permanente a dicho dispositivo, evadiendo las protecciones de los sistemas operativos.
Estos fallos catalogados de alta gravedad afectan a la gama de dispositivos HP Elitebook.
Los CVE publicados son lo siguientes:
CVE-2022-23930 (CVSS score: 8.2) – Stack-based buffer overflowCVE-2022-31640 (CVSS score: 7.5) – Improper input validationCVE-2022-31641 (CVSS score: 7.5) – Improper input validationCVE-2022-31644 (CVSS score: 7.5) – Out-of-bounds writeCVE-2022-31645 (CVSS score: 8.2) – Out-of-bounds writeCVE-2022-31646 (CVSS score: 8.2) – Out-of-bounds write
No obstante HP publicó parches para abordar los fallos en marzo y agosto, aunque aún no han sido lanzados los parches para todos los modelos afectados, haciendo que una parte de los clientes de la marca queden expuestos ante el riesgo de ciberataques.
«Como resultado de la complejidad que supone la cadena de suministro de firmware, hay vulnerabilidades que son difíciles de parchear, ya que implican posibilidades más allá de lo que los proveedores de dispositivos disponemos»
Declaración de HP
Todo esto llega acompañado con un parche lanzado la semana pasada con correcciones para un fallo de escalada de privilegios (CVE-2022-38395, puntuación CVSS: 8,2) en el software oficial de HP (Support Assistant).
Más información:
https://thehackernews.com/2022/09/high-severity-firmware-security-flaws.html
La entrada Equipos HP afectados por una vulnerabilidad de firmware después de meses se publicó primero en Una al Día.
