安全研究機構Eclypsium發現，戴爾的遠程BIOS更新軟件對中間人攻擊開放，允許攻擊者在多達129種不同型號的戴爾筆記本電腦的BIOS中遠程執行代碼。Eclypsium公司的研究人員解釋說：”這種攻擊將使對手能夠控制設備的啟動過程，並影響操作系統和更高層的安全設定。
多達3000萬台設備，包括消費者和商業筆記本電腦、台式機和平板電腦都受到影響。有問題的軟件是BIOSConnect，它是戴爾的SupportAssistant的一部分。該功能被預裝在大多數戴爾的Windows設備上。”
該服務使用一個不安全的TLS連接，從BIOS到工具軟件一共有三個溢出漏洞，從而允許攻擊者向設備輸送他們選擇的任何軟件。其中兩個溢出安全漏洞 “影響操作系統恢復過程，而另一個影響固件更新過程”，這三個漏洞都是獨立的，每個漏洞都可能導致BIOS中的任意代碼執行。
研究人員說，所有的設備都需要更新它們的BIOS，並建議不要用戴爾的BIOSConnect功能來做這件事。
您可以在這裡閱讀Eclypsium的報告和戴爾公告中受影響設備型號的完整列表：
http://www.eclypsium.com/2021/06/24/biosdisconnect/