La falla de HP OMEN Gaming Hub afecta a millones de computadoras con Windows

Los investigadores de ciberseguridad revelaron el martes detalles sobre una falla de alta gravedad en el software del controlador HP OMEN que afecta a millones de computadoras para juegos en todo el mundo, dejándolas expuestas a una variedad de ataques.

Registradas como CVE-2021-3437 (puntuación CVSS: 7., las vulnerabilidades podrían permitir que los actores de amenazas escalen privilegios al modo kernel sin requerir permisos de administrador, lo que les permite deshabilitar productos de seguridad, sobrescribir componentes del sistema e incluso corromper el sistema operativo.

La firma de ciberseguridad SentinelOne, que descubrió e informó de la deficiencia a HP el 17 de febrero, dijo que no encontró evidencia de explotación en estado salvaje. Desde entonces, la empresa de hardware informático ha publicado una actualización de seguridad para sus clientes para abordar estas vulnerabilidades.

Los problemas en sí tienen su origen en un componente llamado OMEN Command Center que viene preinstalado en las computadoras portátiles y de escritorio de la marca HP OMEN y también se puede descargar de Microsoft Store. El software, además de monitorear la GPU, la CPU y la RAM a través de un tablero de vitals, está diseñado para ayudar a ajustar el tráfico de la red y overclockear la PC para juegos para un rendimiento más rápido de la computadora.

"El problema es que HP OMEN Command Center incluye un controlador que, aunque aparentemente desarrollado por HP, es en realidad una copia parcial de otro controlador lleno de vulnerabilidades conocidas", dijeron los investigadores de SentinelOne en un informe compartido con The Hacker News.

"En las circunstancias adecuadas, un atacante con acceso a la red de una organización también puede obtener acceso para ejecutar código en sistemas sin parches y utilizar estas vulnerabilidades para obtener una elevación local de privilegios. Los atacantes pueden aprovechar otras técnicas para girar a la red más amplia, como lateral movimiento."

El controlador en cuestión es HpPortIox64.sys, que deriva su funcionalidad de WinRing0.sys desarrollado por OpenLibSys , un controlador problemático que surgió como la fuente de un error de escalada de privilegios local en el software EVGA Precision X1 ( CVE-2020-14979 , puntuación CVSS: 7. el año pasado.

"WinRing0 permite a los usuarios leer y escribir en la memoria física arbitraria, leer y modificar los registros específicos del modelo ( MSR ) y leer / escribir en los puertos IO en el host", señalaron investigadores de SpecterOps en agosto de 2020. "Estas características están pensadas por los desarrolladores del controlador. Sin embargo, debido a que un usuario con pocos privilegios puede realizar estas solicitudes, presentan una oportunidad para la escalada local de privilegios ".

El problema principal surge del hecho de que el controlador acepta el control de entrada / salida ( llamadas de IOCTL ) sin aplicar ningún tipo de aplicación de ACL , lo que permite a los malos actores el acceso sin restricciones a las funciones antes mencionadas, incluidas las capacidades para sobrescribir un binario cargado por un proceso privilegiado. y finalmente ejecutar código con privilegios elevados.

"Para reducir la superficie de ataque proporcionada por los controladores de dispositivos con controladores de IOCTL expuestos, los desarrolladores deben aplicar ACL fuertes en los objetos del dispositivo, verificar la entrada del usuario y no exponer una interfaz genérica a las operaciones del modo kernel", dijeron los investigadores.

Los hallazgos marcan la segunda vez que WinRing0.sys aparece bajo la lente de causar problemas de seguridad en los productos HP.

En octubre de 2019, SafeBreach Labs reveló una vulnerabilidad crítica en el software HP Touchpoint Analytics (CVE-2019-6333), que viene incluido con el controlador, lo que permite potencialmente a los actores de amenazas aprovechar el componente para leer la memoria del kernel arbitraria y permitir de manera efectiva una lista de cargas útiles maliciosas a través de un desvío de validación de firma.

Tras la divulgación, la empresa de seguridad de firmware empresarial Eclypsium, como parte de su iniciativa " Controladores atornillados " para compilar un repositorio de controladores inseguros y arrojar luz sobre cómo los atacantes pueden abusar de ellos para obtener el control de los sistemas basados ​​en Windows, se denominó WinRing0.sys. un "destornillador de agujero de gusano por diseño".

El descubrimiento también es el tercero de una serie de vulnerabilidades de seguridad que afectan a los controladores de software y que SentinelOne ha descubierto desde principios de año.

A principios de este mes de mayo, la compañía con sede en Mountain View reveló detalles sobre múltiples vulnerabilidades de escalada de privilegios en el controlador de actualización de firmware de Dell llamado " dbutil_2_3.sys " que no se reveló durante más de 12 años. Luego, en julio, también hizo público una falla de desbordamiento de búfer de alta gravedad que afectaba a " ssport.sys " y se usaba en impresoras HP, Xerox y Samsung que se descubrió que no había sido detectada desde 2005.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta