Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Surface Pro 3」にセキュアブート回避の脆弱性 - 他社機器も影響を受ける可能性

マイクロソフトは、「Surface Pro 3」にセキュアブートをバイパスされる脆弱性が存在することを明らかにした。他社デバイスも影響を受ける可能性があるという。

「Surface Pro 3」において、デバイスとソフトウェアの構成に関する情報を記録する「プラットフォーム構成レジスタ(PCR)」を拡張することが可能となる脆弱性「CVE-2021-42299」が存在することを明らかにしたもの。ブートプロセスにおいて「PCR」をチェックすることで、デバイスの状態を判断するが、脆弱性を悪用することで問題ないデバイスであると偽装できるという。

同社は、重要度を上から2番目にあたる「重要(Important)」とし、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「5.6」とレーティングした。脆弱性の悪用や公表は確認されていない。脆弱性の悪用可能性指標は「悪用される可能性は低い」としている。

アップデートは公開されておらず、脆弱性を悪用するには、端末へ物理的にアクセスするか、ユーザーの認証情報を取得する必要があるとして、デバイスへの物理的なアクセスを防ぐよう求めている。

同社は脆弱性が存在するデバイスとして「Surface Pro 3」を挙げており、「Surface Pro 4」「Surface Book」は影響を受けない。一方、同社以外のデバイスにおいても同様の「BIOS」を使用している場合は、同脆弱性の影響を受ける可能性があるとしている。

(Security NEXT - 2021/10/19 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

Zoomに複数脆弱性、クライアントやSDKなど広く影響
「Movable Type」ベースの「PowerCMS」にも深刻な脆弱性
ウェブメールクライアント「Roundcube」に深刻な脆弱性 - アップデートを強く推奨
「Zoho ManageEngine ServiceDesk Plus」に深刻な脆弱性 - APT攻撃の対象に
Mozillaの暗号ライブラリ「NSS」に深刻な脆弱性 - アップデートを公開
VPN製品「Pulse Connect Secure」にDoS攻撃受けるおそれ - アップデートで修正
「baserCMS」の管理画面に複数の脆弱性 - アップデートで修正
「ウイルスバスター for Mac」に脆弱性 - 修正を自動配信
「VMware vCenter Server」に2件の脆弱性 - アップデートが公開
QNAP Systemsの「Multimedia Console」に脆弱性