News CVE-2021-21551: Dell schließt 12 Jahre alte kritische Sicherheitslücke

[MichaG]

Dell schließt eine seit rund 12 Jahren bestehende Sicherheitslücke in einem Treiber für Firmware-Update-Tools. Das als schwerwiegend eingestufte Sicherheitsleck soll Millionen von Windows-Systemen wie Desktop-PCs, Notebooks und Tablets von Dell betreffen, die seit 2009 ausgeliefert wurden.

Zur News: CVE-2021-21551: Dell schließt 12 Jahre alte kritische Sicherheitslücke

 

[Fliz]

Schwerwiegend und 12 Jahre offen? Klingt ja nicht nach Vertrauenswürdigkeit..

 

[ghecko]

Über die Lücke haben Angreifer die Möglichkeit, auch als Nicht-Administratoren Berechtigungen auf Kernel-Ebene zu erlangen und damit das System praktisch zu kapern und etwa beliebig Malware zu installieren.

Schöne Backdoor, hört sich richtig praktisch an.

 

[estros]

War wohl nicht sehr kritisch, obwohl schwerwiegend.

 

[john.smiles]

Schwerwiegend und 12 Jahre offen? Klingt ja nicht nach Vertrauenswürdigkeit..

Hersteller Update Tools und RGB Software sind mir deswegen ein Graus, vor allen wenn sie sich selbst installieren. Letztere wurden sogar schon zum einschleusen/verschleiern von Cheats benutzt, weswegen sie nun von Anticheatprogrammen als Cheats erkannt werden.

 

[AssembIer]

Etwas missverständlich ausgedrückt im Artikel, die Sicherheitslücke besteht zwar schon lange, ist aber erst seit kurzem bekannt bzw. kürzlich gefunden worden.

Einer kleiner aber nicht unwichtiger Unterschied. So gesehen bestehen viele Sicheitslücken sehr viele Jahre.

 

[[wege]mini]

Etwas missverständlich ausgedrückt im Artikel

Wenn man den Artikel auch liest, ist er ziemlich eindeutig.

"Entdeckt wurde die Schwachstelle von der Sicherheitsfirma Sentinel Labs, die nach eigenen Angaben Dell am 1. Dezember 2020 davon in Kenntnis gesetzt habe."

Wer da irgend wann mal warum "geschlampt" hat und warum es bisher niemanden aufgefallen ist, lasse ich einfach mal außen vor.

Manchmal sind solche Lücken ja auch gewollt und man ist nur sauer, weil irgend jemand sie gefunden hat.

mfg

 

[Zer0DEV]

Und wie viele von den Dell-Anwendern werden die Anleitung bzw die einzuhaltende Vorgehensweise umgesetzt bekommen?

 

[fdsonne]

Einer kleiner aber nicht unwichtiger Unterschied. So gesehen bestehen viele Sicheitslücken sehr viele Jahre.

Wieso macht das einen nicht unwichtigen Unterschied?

Es würde dann einen Unterschied machen, wenn das Nichtwissen der Öffentlichkeit automatisch gleichzusetzen wäre mit dem Nichtwissen von Niemanden. Aber das ist eben schlicht nicht zwingend der Fall. Wer von dieser Lücke abseits der breiten Öffentlichkeit wusste, ist nicht bekannt. Die Möglichkeit dass es Jemand tat, ist aber definitiv gegeben. Insofern macht das meiner Ansicht nach keinen Unterschied - nichtmal ob irgendwer davon Kenntnis hat oder hatte, das der Spaß aktiv ausgenutzt wird, ändert daran was. 12 Jahre war das Tor offen bzw. ist es heute bei vielen Geräten sicher noch, weil Updates in der Form wohl schwer Verbreitbar sind, wenn das nicht irgendwo über das OS "mitkommt".

Sowas ist btw. ein Paradebeispiel, dass Hardware Sicherheitslücken in CPUs schlich und ergreifend idR gar kein wirklich unmittelbares Risiko darstellen - weil es viel einfacher ist über solche Software Themen einzusteigen ohne sich auf CPU Ebene zu verbiegen Noch besser - wenn das OpenSource ist, weil dann kann man sogar gezielt nach Unstimmigkeiten suchen und schön seine Klappe halten wenn man was findet...

 

[bigfudge13]

Oha. Da muss ich gleich mal kucken, ob der Firmenlaptop davon betroffen ist. Die IT wirds schon richten

 

[Salutos]

eher wohl ein Backdoor der jetzt als Sicherheitslücke getrant wird.
Anders lassen sich 12 Jahre Untätigkeit nicht erklären.

 

[DerMond]

Techniker 2009: Boss, sollten wir nicht lieber die kritische Sicherheitslücke schließen?
Boss: welche Sicherheitslücke? ;-)
Techniker: verstanden ;-)

 

[Master1989]

Und wie viele von den Dell-Anwendern werden die Anleitung bzw die einzuhaltende Vorgehensweise umgesetzt bekommen?

Ich auf jedenfall nicht.
Mein arbeitslappi hat fast 7jahre aufm buckel und noch win 7.
Das problem, die neuen die wir bekommen, haben keine serielle schnittstelle mehr (ja, inner industrie leider noch seeeeeehr gebräuchlich) und die adapter wolln meistens nicht richtig und die software für die steuerungen und regler stammt zum teil noch aus xp zeiten...

Ergänzung (5. Mai 2021)

Oha. Da muss ich gleich mal kucken, ob der Firmenlaptop davon betroffen ist. Die IT wirds schon richten

Wird unsere bestimmt nicht. Die 4 Jungs sind jetzte schon total überlastet.

 

[Xes]

eher wohl ein Backdoor der jetzt als Sicherheitslücke getrant wird.

Das war auch mein erster Gedanke.
Da hat vermutlich irgendwer eine Lücke gefunden die bisher absichtlich für Werkzeuge der NSA usw. offen gehalten wurde.
Aus dem Snowden Buch weis man ja bereits wie direkt die Hersteller mit den Behörden zusammenarbeiten.

 

[andy_m4]

Noch besser - wenn das OpenSource ist, weil dann kann man sogar gezielt nach Unstimmigkeiten suchen und schön seine Klappe halten wenn man was findet...

Das ist richtig.
Man muss nur aufpassen, was man daraus folgert. Denn Dein Einwurf suggeriert so ein bisschen, das Open Source deshalb unsicherer wäre, was so natürlich nicht stimmt.

Tendenziell ist nämlich dafür die Qualität von Open-Source-Software höher, weil sich natürlich kein Entwickler die Blöße geben will irgendwie miesen Code zu veröffentlichen (der Code sollte auch gut sein; weil oft ist ja ein Ziel von Open-Source Mitstreiter anzuziehen und wenn das irgendwie total "Kraut&Rüben" ist wird sich da keiner finden).

Bei Closed-Source-Software wird dagegen gern mal was hingepfuscht. Weil sieht ja keiner. Und selbst, wenn der Entwickler irgendwo potentielle Probleme sieht, kann der sich das (gerade durch den fast immer gegebenen Zeitdruck) sich schönreden mit "Weiß ja keiner".

Das lässt sich jetzt nicht verallgemeinern. Es gibt auch grottigen Open-Souce-Code (~hust~ node.js Umfeld ~hust~) und auch relativ gute Closed-Source-Software
Aber so in der Tendenz kann man das schon so sagen.

 

[fdsonne]

Das ist richtig.
Man muss nur aufpassen, was man daraus folgert. Denn Dein Einwurf suggeriert so ein bisschen, das Open Source deshalb unsicherer wäre, was so natürlich nicht stimmt.

Das ist deine Interpretation. Ich will damit nur sagen, dass OpenSource und Codeeinsicht nicht bedeutet, dass dadurch irgendwo mehr Sicherheit bei rum kommt. Das haben zur genüge Beispiele der Vergangenheit gezeigt. Es besteht auch quasi kein Unterschied, ob der Code nun einsehbar ist und ne Lücke hat oder nicht einsehbar ist und ne Lücke hat - weil damit die Lücke gesehen wird, muss man halt in den Code gucken -> was viel zu häufig eben nicht passiert.
Closed Sourcen kann das freilich nicht besser machen. OpenSource macht es Leuten, die gezielt nach Angriffsvektoren suchen, allerdings einfacher diese zu finden. Gilt aber klar auch für die, die gezielt nach Lücken suchen um sie zu reporten (bei Code Audits bspw.)

Der Rest verschwimmt zwischen den Extremen. Den Teil zur "Blöße" halte ich allerdings für Käse. Entwickler coden doch nicht des Ansehens nach - die Coden weil sie Spaß dran haben bzw. auch, weil es eben teils ihr Job ist. Zumindest kenne ich keinen Software Entwickler, der irgendwo was wegen "Blöße" macht oder nicht macht.

Mieser Code ist meiner Ansicht relativ - mies wird es im Zusammenhang ja deswegen, weil wer aufdeckt, dass etwas in dem Fall insecure ist/war. Deswegen ist der Code als solches aber nicht zwingend mies. Fehler passieren halt. Da sitzen idR nur Menschen. Mit miesem Code verbinde ich andere Sachen als Sicherheitslücken. Bestenfalls noch, Code, der wissentlich und absichtlich mit Lücken verpfuscht wurde. Da ich selbst (aktuell aber weniger aktiv aus Zeitgründen) in diesem Umfeld unterwegs bin - ich kann von mir selbst sagen, dass Dinge halt manchmal einfach unter Radar laufen. Man ist im Tunnel und hat Fokus auf ein Problem und sieht manchmal einfach den Wald vor lauter Bäumen nicht. Das geht sicher vielen so. Gerade wenn man den eigenen Code Wochen oder Monate Später mal ansieht - da fallen selbst Sachen auf, wo man sich denkt, häää wieso hab ich das jetzt gerade so gemacht, ist doch totaler Käse!?
Meiner Ansicht nach ist das eins der größten "Probleme" im OpenSource Umfeld. Viele Köche und so. Meiner Erfahrung nach passiert sowas auf der "privaten Hobby" ebene viel eher als im Business Umfeld, wo am Ende zumindest meiner Erfahrung nach noch andere Kollegen über den Code sehen - vllt nicht 100%, aber zumindest im groben. Ich will bspw. gar nicht wissen wie viele OpenSource Projekte auf Github und Co, einfach die Codeänderungen mehr oder weniger Blindlinks durchwinken, weil irgendwo irgendwer nen Bug gefixt hat, der den Code bzw. das große ganze gar nicht kennt und mit Änderungen potentiell irgendwo anders ein Tor aufreißt.

Wie gesagt, nicht falsch verstehen. OpenSource kann da schon viele Vorteile haben und deswegen keineswegs schlecht - oder gar schlechter als Closed Source.

 

[LukS]

Das problem, die neuen die wir bekommen, haben keine serielle schnittstelle mehr (ja, inner industrie leider noch seeeeeehr gebräuchlich) und die adapter wolln meistens nicht richtig und die software für die steuerungen und regler stammt zum teil noch aus xp zeiten...

Also wir verwenden bei uns in der Abteilung zig verschiedene RS232 (RS-485->USB sind auch ein paar im Umlauf) zu USB Adapter (1x, 2x oder 4x zu 1xUSB-A/C) von verschiedenen Herstellern und wir haben mit keinem der Adapter ein Problem unter Windows 10 (1909 und 20H2 ist bei uns im Umlauf).

RS232 zu USB Adapter ran und den Rest macht Windows Update, falls der Treiber nicht schon auf dem Gerät war...

Wir haben auch uralte Messgeräte mit Software aus XP oder älteren Zeiten. Ich hab eigentlich alles unter Win 10 zum Laufen bekommen. Solange keine 16Bit Programme dabei sind, geht das. Man muss sich nur die Mühe machen und alles durchtesten und neu Konfigurieren. Das Zeit die man in das Umstellen investiert muss, ist eher das was die meisten davon abhält.

 

[I'm unknown]

Schwerwiegend und 12 Jahre offen?

Das ist die Natur der Sache: Solange etwas nicht gefunden wird ist es prinzipiell offen. Dell hat zwar hier auch bald ein halbes Jahr gebraucht (warum eigentlich), ob die Lücke allerdings überhaupt genutzt wurde ist dann trotzdem ein anderes Thema.

 

[AssembIer]

Wieso macht das einen nicht unwichtigen Unterschied?

Weil man durch den Titel zu dem Schluss kommen könnte die Lücke war bekannt und Dell war 12 Jahre lang untätig.

Wer in der Zwischenzeit sonst noch davon wusste oder ob es aktiv ausgenutzt wurde, darüber kann man nur spekulieren.

Wichtig ist, wann dem Hersteller die Lücke gemeldet und ob bzw. wann diese behoben wurde.

Man kann an diese Stelle natürlich Dell vorwerfen nicht selbst aktiv nach solchen Lücken gesucht zu haben. Aber die Realität sieht einfach so aus, dass selbst riesige Konzerne das Thema Sicherheit eher zweitrangig betrachten. Zumal das betroffene Tool vermutlich nicht mal von Dell sondern einem Zulieferer bzw. Partner stammt, der auch für das HW Design verantwortlich ist.

Nicht falsch verstehen, ich möchte Dell auf keinen Fall verteidigen. Nur wird hier dem Fakt, dass diese Lücke weit zurück geht, zu viel Bedeutung gegeben.

 

[Master1989]

Also wir verwenden bei uns in der Abteilung zig verschiedene RS232 (RS-485->USB sind auch ein paar im Umlauf) zu USB Adapter (1x, 2x oder 4x zu 1xUSB-A/C) von verschiedenen Herstellern und wir haben mit keinem der Adapter ein Problem unter Windows 10 (1909 und 20H2 ist bei uns im Umlauf).

RS232 zu USB Adapter ran und den Rest macht Windows Update, falls der Treiber nicht schon auf dem Gerät war...

Wir haben auch uralte Messgeräte mit Software aus XP oder älteren Zeiten. Ich hab eigentlich alles unter Win 10 zum Laufen bekommen. Solange keine 16Bit Programme dabei sind, geht das. Man muss sich nur die Mühe machen und alles durchtesten und neu Konfigurieren. Das Zeit die man in das Umstellen investiert muss, ist eher das was die meisten davon abhält

Hört sich ja schon mal gut an.
Vielleicht bekomm ich unsere IT ja dazu, auf meinen Lappi Win10 drauf zu haun.
Mir wills nicht in den Kopf, funktionierende Geräte auszusondern.
Vorallem, wenn man "nur" Win neu installieren muss.
Aba naja, 4 Leute inner IT müssen sich um 400 kümmern^^