米国のIT大手デルの家庭用および業務用コンピュータにバンドルされている、アップデート版のトラブルシューティングソフトウェア「SupportAssist」には、マルウェアや不正ログインユーザーによって悪用され、管理者権限を取得される恐れのあるセキュリティ上の欠陥がある。
テキサス州のシステムスリンガーは本日、同社のPC修復ツールに権限昇格の脆弱性（CVE-2019-12280）があり、パッチ適用が必要であるという警告を発しました。この深刻度の高い脆弱性を解消するには、Dell SupportAssist for Business PCs バージョン2.0.1とDell SupportAssist for Home PCs バージョン3.2.2を入手してインストールする必要があるとのことです。
影響を受けるソフトウェアのバージョンには、Dell SupportAssist for Business PCs バージョン 2.0、Dell SupportAssist for Home PCs バージョン 3.2.1、およびそれ以前のすべてのリリースが含まれます。
IT大手の企業は、Windowsベースのトラブルシューティングプログラムを新しいデスクトップ、ノートパソコン、タブレットに同梱しています。しかしながら、SafeBreach Labsの研究者が発見し、非公開で報告したように、このソフトウェアは実行時に.dllファイルを安全でない方法で読み込みます。研究者のペレグ・ハダー氏はThe Registerに対し、SYSTEMレベルの権限で実行されるSupportAssistは、ユーザーが管理するフォルダから署名されていないコードライブラリを自動的に読み込むと述べています。つまり、マルウェアや不正なユーザーは、独自の.dllファイルをパスに残し、SupportAssistがそれらを盲目的に読み込むのを待ち、管理者権限でコードを実行できるということです。
そうなると、既にコンピュータに侵入している悪質なソフトウェアや、ログインした内部不正者が、脆弱なコンピュータを完全に制御できるようになる可能性があります。また、例えば、ユーザーが書き込み可能なディレクトリにファイルを任意にドロップできるブラウザの脆弱性によって、リモートから管理者レベルのセキュリティ侵害が発生する可能性も考えられます。SafeBreachの推定によると、この.dllインジェクションの脆弱性は、最大1億台のDell製PCに存在しているとのことです。
汚いDRAC：IT担当者がDellサーバのファームウェアのセキュリティミスを発見
続きを読む
「ユーザーがアップデートしない限り、メーカーによる変更なしにWindowsオペレーティングシステムを実行しているすべてのDell PCは脆弱であると推測できます」とHadar氏は述べた。
この話の最も懸念される部分は、この特定の欠陥のある PC を出荷しているのは Dell だけではない、と Hadar 氏が考えていることだ。
その理由は、サポートおよび診断アプリの専門企業である PC Doctor が作成および保守している Dell の SupportAssist ソフトウェアのサードパーティ コンポーネントに脆弱性があるためです。PC Doctor は PC メーカーにソフトウェアを販売し、メーカーはそれを自社製品 (Dell の場合は SupportAssist) に統合します。
「私たちがこの脆弱性を発見し、Dellに報告したところ、DellもPC Doctorに報告しました」とHadar氏は説明した。「PC Doctorによると、この脆弱性の影響を受けるOEMメーカーは複数あるとのことでした。」
実際、パッチの適用方法を説明したデルの簡潔な勧告には、「Dell SupportAssist for Business PCs および Dell SupportAssist for Home PCs は、PC Doctor コンポーネント内のセキュリティ上の脆弱性に対処するために最新バージョンにアップデートする必要があります」と記載されています。
残念ながら、SafeBreach は PC Doctor からこのプログラミングの失敗による影響の範囲を確認する連絡を受けておらず、El Reg は記事公開時点で開発者と連絡を取ることができなかった。
脆弱なソフトウェアが他のコンピュータ ベンダーによって配布されていたことが判明した場合、PC 業界の大手数社が Dell と同様のアップデートをリリースする可能性が高く、PC Doctor はパートナーや一般の人々に説明する必要があるでしょう。®
6月21日金曜日に追加更新
Dellの広報担当者は、「顧客の90%以上がアップデートをダウンロードしており、もはやリスクはない」と述べ、この脆弱性は「数百万台」のDell製コンピューターに存在していたと付け加えた。また、CVE-2019-12280の修正は5月28日にひっそりと公開されていたが、Dellは今週になってようやくアドバイザリを公開したと付け加えた。
