CVE-2021-21551
Dell dbutil Driver Insufficient Access Control Vulnerability
Beschreibung
CVE-2021-21551 ist eine Schwachstelle für unzureichende Zugriffskontrolle im Dell-Treiber dbutil_2_3.sys, die es einem lokal authentifizierten Angreifer ermöglicht, Privilegien auf Kernel-Ebene zu eskalieren. Der verwundbare Treiber wird auf Dell-Systemen als Teil von BIOS-Update-Utilities und Firmware-Update-Paketen installiert. Er wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 0,3 % (69. Perzentil) wurde diese Schwachstelle in gezielten Angriffen zur Privilegieneskalation eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dell | dbutil | <= 2.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/162604/Dell-DBUtil_2_3.sys-IOCTL-Memory-Read-Write.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162739/DELL-dbutil_2_3.sys-2.3-Arbitrary-Write-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.dell.com/support/kbdoc/en-us/000186019/dsa-2021-088-dell-client-platform-security-update-for-dell-driver-insufficient-access-control-vulnerability(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-21551(US Government Resource)
Schwachstellentyp
CWE-284: Unzureichende Zugriffskontrolle
Unzureichende Zugriffskontrolle tritt auf, wenn eine Anwendung den Zugriff auf Ressourcen nicht ordnungsgemäß einschränkt und unbefugte Aktionen ermöglicht. Bei CVE-2021-21551 stellt der Dell dbutil-Treiber Kernel-Level-Funktionalität für User-Mode-Anwendungen ohne ordnungsgemäße Zugriffskontrollen bereit, was eine Privilegieneskalation vom Standardbenutzer auf Kernel-Ebene ermöglicht. Weitere Details unter CWE-284.
Auswirkungsanalyse
Eine erfolgreiche Ausnutzung dieser Schwachstelle gewährt Kernel-Level-Zugriff auf betroffenen Dell-Systemen, die höchste Privilegienstufe im Windows-Betriebssystem. Kernel-Zugriff ermöglicht es Angreifern, alle Sicherheitsmechanismen zu umgehen, Endpunktschutzsoftware zu deaktivieren, auf verschlüsselte Daten zuzugreifen, persistente Rootkits zu installieren und eine getarnte Präsenz auf dem kompromittierten System aufrechtzuerhalten. Die Schwachstelle ist besonders wirkungsvoll, da der betroffene Treiber über standardmäßige Firmware-Update-Prozesse weit auf Dell-Geschäfts- und Consumer-Systemen verbreitet ist. Dies bedeutet, dass eine große Anzahl von Unternehmens-Workstations und Laptops den verwundbaren Treiber ohne explizites Wissen des Administrators installiert haben könnte.
Exploit-Reifegrad
CVE-2021-21551 wurde am 31. März 2022 in den CISA-KEV-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Der EPSS-Score von 0,3 % (69. Perzentil) spiegelt gezielte statt Massenausnutzung wider, was typisch für treiberbasierte Privilegieneskalations-Schwachstellen ist. Die Lazarus-APT-Gruppe soll ein bösartiges Treiber-Tool basierend auf CVE-2021-21551 verwendet haben, um Sicherheitsüberwachungssoftware auf kompromittierten Systemen zu deaktivieren. Öffentliche Proof-of-Concept-Exploits sind verfügbar, und die Schwachstelle wurde in Post-Exploitation-Toolkits integriert.
Behebung
- Entfernen Sie den verwundbaren dbutil_2_3.sys-Treiber von allen Dell-Systemen mit dem Entfernungstool aus Dell Security Advisory DSA-2021-088, wie vom CISA-KEV-Katalog empfohlen.
- Aktualisieren Sie Dell-Firmware-Update-Utilities (Dell Command Update, Dell Update, Alienware Update) auf Versionen, die den verwundbaren Treiber nicht mehr enthalten.
- Implementieren Sie Treiber-Blocklist-Richtlinien mit Windows Defender Application Control (WDAC) oder ähnlichen Tools, um das Laden des verwundbaren Treibers zu verhindern.
- Prüfen Sie Systeme organisationsweit auf das Vorhandensein von dbutil_2_3.sys und verwandten verwundbaren Treibern.
- Setzen Sie Endpunkt-Erkennungstools ein, die Ausnutzungsversuche gegen verwundbare Kernel-Treiber identifizieren können.
Technische Details
Die Schwachstelle existiert im Dell-Kernel-Treiber dbutil_2_3.sys, der als Teil von Dell BIOS-Update- und Firmware-Update-Utilities installiert wird. Der Treiber bietet direkten Hardware-Zugriff für Firmware-Operationen, stellt diese Fähigkeit aber über IOCTL-Schnittstellen (Input/Output Control) für User-Mode-Anwendungen ohne ausreichende Zugriffskontrollüberprüfung bereit. Konkret ermöglicht der Treiber User-Mode-Prozessen das Lesen und Schreiben von beliebigem physischem Speicher, das Lesen und Schreiben von Prozessor-MSR-Registern (Model Specific Registers) und andere privilegierte Operationen. Ein Angreifer kann diese Fähigkeiten nutzen, um Kernel-Speicher zu modifizieren, Sicherheitssoftware zu deaktivieren und beliebigen Code auf Kernel-Ebene auszuführen. Der Angriff erfordert nur Standard-Benutzerberechtigungen und lokalen Zugang zu einem System mit installiertem verwundbarem Treiber.
Häufig gestellte Fragen
Was ist CVE-2021-21551?
CVE-2021-21551 ist eine Privilegieneskalations-Schwachstelle im Dell-Kernel-Treiber dbutil_2_3.sys. Der Treiber, der über Dell BIOS- und Firmware-Update-Utilities installiert wird, stellt Kernel-Level-Fähigkeiten für Standard-Benutzeranwendungen ohne ordnungsgemäße Zugriffskontrollen bereit, was Privilegieneskalation ermöglicht.
Wie ist dieser Treiber auf mein System gelangt?
Der verwundbare Treiber wird typischerweise als Teil des Dell BIOS Update Utility, Dell Command Update, Dell Update oder Alienware Update installiert. Er könnte durch automatisierte Firmware-Updates oder manuelle Treiberinstallationen auf Dell-Systemen installiert worden sein.
Ist mein Nicht-Dell-System betroffen?
Die Schwachstelle betrifft speziell den Dell dbutil_2_3.sys-Treiber. Nicht-Dell-Systeme wären nur betroffen, wenn der Treiber manuell installiert wurde, was unwahrscheinlich ist. Ähnliche treiberbasierte Schwachstellen existieren jedoch in Utilities anderer Hersteller.
Wurde dies von APT-Gruppen eingesetzt?
Ja, die Lazarus-APT-Gruppe soll Ausnutzungstechniken basierend auf CVE-2021-21551 verwendet haben, um ein Tool zu erstellen, das Sicherheitsüberwachungssoftware auf kompromittierten Systemen deaktiviert, was den praktischen Wert treiberbasierter Privilegieneskalation in fortgeschrittenen Angriffskampagnen demonstriert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.