NVD脆弱性詳細
Exploit、PoC検索
CVE-2015-2890
概要

The BIOS implementation on Dell Latitude, OptiPlex, Precision Mobile Workstation, and Precision Workstation Client Solutions (CS) devices with model-dependent firmware before A21 does not enforce a BIOS_CNTL locking protection mechanism upon being woken from sleep, which allows local users to conduct EFI flash attacks by leveraging console access, a similar issue to CVE-2015-3692.

公表日 2015年8月1日10:59
登録日 2021年1月26日14:48
最終更新日 2024年11月21日11:28
CVSS3.1 : MEDIUM
スコア 6.0
ベクター CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H
攻撃元区分(AV) ローカル
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 高
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) なし
完全性への影響(I) 高
可用性への影響(A) 高
CVSS2.0 : HIGH
スコア 7.2
ベクター AV:L/AC:L/Au:N/C:C/I:C/A:C
攻撃元区分(AV) ローカル
攻撃条件の複雑さ(AC) 低
攻撃前の認証要否(Au) 不要
機密性への影響(C) 高
完全性への影響(I) 高
可用性への影響(A) 高
全ての特権を取得 いいえ
ユーザー権限を取得 いいえ
その他の権限を取得 いいえ
ユーザー操作が必要 いいえ
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a20
実行環境
1 cpe:2.3:h:dell:latitude_e6420_atg:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:latitude_e6420_xfr:*:*:*:*:*:*:*:*
構成2 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a12
実行環境
1 cpe:2.3:h:dell:latitude_e6220:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:latitude_xt3:*:*:*:*:*:*:*:*
構成3 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a15
実行環境
1 cpe:2.3:h:dell:latitude_e4310:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:latitude_e5410:*:*:*:*:*:*:*:*
3 cpe:2.3:h:dell:latitude_e5510:*:*:*:*:*:*:*:*
4 cpe:2.3:h:dell:latitude_e6410_atg:*:*:*:*:*:*:*:*
5 cpe:2.3:h:dell:latitude_e6510:*:*:*:*:*:*:*:*
6 cpe:2.3:h:dell:precision_mobile_m4600:*:*:*:*:*:*:*:*
7 cpe:2.3:h:dell:precision_t1600:*:*:*:*:*:*:*:*
構成4 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a18
実行環境
1 cpe:2.3:h:dell:latitude_e6320:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:latitude_e6520:*:*:*:*:*:*:*:*
構成5 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a14
実行環境
1 cpe:2.3:h:dell:precision_mobile_m4500:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:precision_mobile_m6600:*:*:*:*:*:*:*:*
構成6 以上 以下 より上 未満
cpe:2.3:o:dell:bios:a13:*:*:*:*:*:*:*
実行環境
1 cpe:2.3:h:dell:latitude_e4310:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:latitude_e5420:*:*:*:*:*:*:*:*
3 cpe:2.3:h:dell:latitude_e5520:*:*:*:*:*:*:*:*
構成7 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a11
実行環境
1 cpe:2.3:h:dell:precision_t3600:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:precision_t5600:*:*:*:*:*:*:*:*
3 cpe:2.3:h:dell:precision_t5600_xl:*:*:*:*:*:*:*:*
構成8 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a10
実行環境
1 cpe:2.3:h:dell:optiplex_390:*:*:*:*:*:*:*:*
構成9 以上 以下 より上 未満
cpe:2.3:o:dell:bios:*:*:*:*:*:*:*:* a17
実行環境
1 cpe:2.3:h:dell:optiplex_790:*:*:*:*:*:*:*:*
2 cpe:2.3:h:dell:optiplex_990:*:*:*:*:*:*:*:*
関連情報、対策とツール
共通脆弱性一覧
JVN脆弱性情報
複数の Dell デバイスのファームウェアの BIOS の実装における EFI フラッシュの攻撃を実行される脆弱性
タイトル 複数の Dell デバイスのファームウェアの BIOS の実装における EFI フラッシュの攻撃を実行される脆弱性
概要

複数の Dell デバイスのファームウェアの BIOS の実装は、スリープ状態から復帰させる保護メカニズムをロックする BIOS_CNTL を処理しないため、EFI フラッシュの攻撃を実行される脆弱性が存在します。 本脆弱性は、CVE-2015-3692 と同様の問題です。 補足情報 : CWE による脆弱性タイプは、CWE-17: Code (コード) と識別されています。 http://cwe.mitre.org/data/definitions/17.html

想定される影響 ローカルユーザにより、コンソールへのアクセス権を利用されることで、EFI フラッシュの攻撃を実行される可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日 2015年7月28日0:00
登録日 2015年8月4日17:36
最終更新日 2015年8月4日17:36
影響を受けるシステム
デル
BIOS A21 未満
Latitude E4310 (BIOS A14 未満)
Latitude E5410 (BIOS A16 未満)
Latitude E5420 (BIOS A14 未満)
Latitude E5510 (BIOS A16 未満)
Latitude E5520 (BIOS A14 未満)
Latitude E6220 (BIOS A13 未満)
Latitude E6320 (BIOS A19 未満)
Latitude E6410 ATG (BIOS A16 未満)
Latitude E6420 ATG (BIOS A21 未満)
Latitude E6420 XFR (BIOS A21 未満)
Latitude E6510 (BIOS A16 未満)
Latitude E6520 (BIOS A19 未満)
Latitude XT3 (BIOS A13 未満)
OptiPlex 390 (BIOS A11 未満)
OptiPlex 790 (BIOS A18 未満)
OptiPlex 990 (BIOS A18 未満)
Precision Mobile Workstation M4500 (BIOS A15 未満)
Precision Mobile Workstation M4600 (BIOS A16 未満)
Precision Mobile Workstation M6600 (BIOS A15 未満)
Precision Workstation T1600 (BIOS A16 未満)
Precision Workstation T3600 (BIOS A12 未満)
Precision Workstation T5600 (BIOS A12 未満)
Precision Workstation T5600 XL (BIOS A12 未満)
Precision Workstation T7600 (BIOS A10 未満)
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
0 [2015年08月04日]
  掲載		 2018年2月17日10:37