戴尔计算机自带的SupportAssist软件被曝出RCE漏洞

近期，戴尔发布了一个安全更新来修补戴尔电脑中SupportAssist软件的高危漏洞，该漏洞可使未经授权的访问者在戴尔计算机上远程执行任意文件。

根据戴尔官方网站的说明，SupportAssist软件预安装在大多数运行Windows操作系统的新型戴尔设备上，并会主动检查系统硬件和软件的运行状况。一旦检测到问题时，会主动发送必要的信息给戴尔服务器，以提供必要的技术支持。

影响范围较大

正如戴尔在其公告中所解释的那样，“一个未经身份验证的攻击者，一旦与存在漏洞的系统位于同一个网络，就可以欺骗受害者，让其通过SupportAssist软件从攻击者的网站下载任意可执行文件并运行，最终导致受害者的机器被攻击者完全控制。”

这个漏洞被标记为CVE-2019-3719，严重等级为高（CVSSv3分数8.0）。

17岁的安全研究员Bill Demirkapi在2018年10月10日报告了这个漏洞，戴尔在2019年4月下旬修补完成。

戴尔建议所有客户尽快更新SupportAssist客户端，所有3.2.0.90之前的版本都存在该漏洞。

另一相关漏洞也被修复

在此次更新中，戴尔还修复了John C. Hennessy-ReCar报告的SupportAssist中origin验证缺陷的问题，被标记为 CVE-2019-3718，CVSSv3评分为8.8，严重等级也为高。

戴尔表示，“远程攻击者可利用此漏洞对存在漏洞的系统的用户进行CSRF攻击。”

同样，如果软件版本低于3.2.0.90，则会受到该漏洞的影响。

对于上述的RCE漏洞，安全研究员Bill Demirkapi表示，在实际环境中，攻击者可利用ARP和DNS欺骗进行利用，最终将恶意的可执行文件传送到受害者的戴尔计算机上。

影响大多数戴尔计算机的RCE https://t.co/p8fYv9X6tJ

- Bill Demirkapi（@BillDemirkapi），2019年4月30日

Demirkapi也发布了详细的技术说明，介绍了漏洞发现的步骤以及此RCE的PoC。

他还在YouTube上发布了一个演示视频，展示了他的PoC：

https://www.youtube.com/embed/0cTfnZ04jgQ

这并不是第一次发现戴尔电脑自带软件存在高危漏洞，安全研究员Tom Forbes在2015年就发现了类似的安全漏洞。

当时，Forbes表示： “攻击者可在无任何用户交互的情况下，往受害者机器中下载并执行恶意软件”。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://www.bleepingcomputer.com/news/security/dell-computers-exposed-to-rce-attacks-by-supportassist-flaws/