Các lỗ hổng trên Firmware đặc biệt nguy hiểm vì phần mềm độc hại có thể tồn tại kể cả khi người dùng cài đặt lại hệ điều hành.
Binarly nhấn mạnh, mặc dù đã một tháng kể từ khi những lỗ hổng này được tiết lộ công khai tại sự kiện Black Hat 2022, nhưng đến nay HP vẫn chưa phát hành bản cập nhật bảo mật cho các model bị ảnh hưởng, khiến nhiều khách hàng bị tấn công.
 |
| Nhiều mẫu laptop HP có nguy cơ bị tấn công. Ảnh: Techspot |
Các nhà nghiên cứu đã báo cáo 3 lỗi cho HP vào tháng 7 năm 2021 và 3 lỗi khác vào tháng 4 năm 2022, vì vậy nhà cung cấp có từ 4 tháng đến hơn 1 năm để phát hành bản cập nhật cho tất cả các thiết bị bị ảnh hưởng.
Các lỗ hổng mà nhóm nghiên cứu bảo mật của Binarly phát hiện gần đây liên quan đến vấn đề hỏng bộ nhớ SMM (System Management Module) dẫn đến việc thực thi mã tùy ý.
SMM là một phần của UEFI firmware, cung cấp các chức năng trên toàn hệ thống như điều khiển phần cứng cấp thấp và quản lý điện năng.
Hiện HP đã thừa nhận các lỗ hổng được đề cập và phát hành một số bản cập nhật cho người dùng. Tuy nhiên, theo BleepingComputer, nhiều mẫu laptop doanh nghiệp (Elite, Zbook, ProBook), PC doanh nghiệp (ProDesk, EliteDesk, ProOne), hệ thống điểm bán hàng và cả máy trạm HP (Z1, Z2, Z4, Zcentral) vẫn chưa nhận được bản vá.
Binarly nhận xét, việc sửa lỗi firmware là rất khó khăn đối với một nhà cung cấp do sự phức tạp của chuỗi cung ứng phần mềm, vì vậy nhiều khách hàng của HP sẽ phải chấp nhận rủi ro và tăng cường các biện pháp bảo mật vật lý.