Trusted Design

解説:

CVE-2021-21551は、2009年以降のDell製Windows搭載PCに搭載されている「dbutil_2_3.sys」カーネルモードドライバに存在する、複数の深刻な脆弱性を指します。この脆弱性は、不適切なアクセス制御と入力検証の不備に起因し、ローカルの認証されたユーザーが特権昇格、サービス拒否、または情報漏洩を引き起こす可能性があります。

---

1. 脆弱性の概要

Dell製PCのシステムアップデートソフトウェアがBIOSの更新に使用するカーネルモードドライバ「dbutil_2_3.sys」に、複数の（主に5つの）高深刻度の脆弱性が存在します。 このドライバは、IOCTL（Input/Output Control）操作に対して適切なアクセス制御メカニズムを欠き、危険な機能をユーザーモードアプリケーションに不適切な権限検証なしで公開していました。

1.1 影響

この脆弱性が悪用されると、以下のような影響が発生する可能性があります。 * 特権昇格: ローカル認証されたユーザーが、カーネルモードの権限まで昇格する可能性があります。これにより、システムに対する完全な制御を奪取され、セキュリティ機能の無効化、ユーザー認証情報の詐取、インフラストラクチャ内での横断的な移動などが可能になります。 * サービス拒否 (DoS): システムが応答不能になるサービス拒否状態を引き起こす可能性があります。 * 情報漏洩: 機密情報が漏洩する可能性があります。 * 任意のコード実行: 攻撃者がカーネルモードの権限で任意のコードを実行し、エンドポイントセキュリティソリューションをバイパスする可能性があります。

1.2 深刻度

• CVSSv3.1 ベーススコア: 8.8 (高)

2. 対象となる環境

この脆弱性は、Dellクライアントファームウェアアップデートユーティリティパッケージやその他のソフトウェアツールにバンドルされている「dbutil_2_3.sys」ドライバに存在します。

2.1 影響を受けるOSバージョン

Windowsオペレーティングシステムが動作するDellプラットフォームに影響します。 具体的には、Windows 7、8.1、10、およびWindows 10 2004、20H2で悪用が確認されています。 Linuxオペレーティングシステムは影響を受けません。

2.2 影響を受ける設定

「dbutil_2_3.sys」ドライバが存在するDell製PCが影響を受けます。このドライバは、Dellの「Windows」にプリインストールされているほか、ファームウェアアップデートユーティリティパッケージ、Dell Command Update、Dell Update、Alienware Update、Dell System Inventory Agent、またはDell Platform Tagsを使用してシステムのドライバやBIOSなどを更新した場合にインストールされる可能性があります。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、以下のような兆候が現れる可能性があります。 * 通常権限のユーザーがシステム上で予期せぬ高レベルの権限（例：カーネルモード権限）を獲得する。 * システムクラッシュや応答停止。 * ローカルユーザーがカーネルメモリの任意の読み取り/書き込みを実行できる。 * 非管理者ユーザーによってシステムコマンドプロンプトが起動される。

Dellによると、この脆弱性は発見時点では悪用は確認されていませんでした。

4. 推奨対策

Dellは、Dell Security Advisory DSA-2021-088に従って対策を講じることを推奨しています。

4.1 本対策

以下のいずれかの方法で対策を実施してください。 * Dellが提供する修正済みBIOSバージョンへのアップデートを実施してください。Windows 7および8.1の場合は、DSA-2021-152に記載されているBIOSバージョンにアップデートする必要があります。 * Dellが提供する削除ツールを利用して、脆弱性を含む dbutil_2_3.sys ドライバをシステムから削除してください。 * Dell Command Update、Dell Update、Alienware Update、Dell System Inventory Agent、Dell Platform Tagsなどの関連ソフトウェアを最新バージョンに更新してください。 * Dell SupportAssist for Home PCs/Business PCsをインストールし、常に最新の状態に保つことで、ドライバやシステムを最新に更新します。

4.2 暫定回避策（緩和策）

• Microsoftが推奨するドライバーブロックルールを適用してください。
• Hypervisor-Protected Code Integrity (HVCI) を有効にしてください。
• セキュリティ製品（EDRソリューションなど）を使用している場合、脆弱なドライバのハッシュ（バージョン2.3、2.5、2.7）をブロックリストに追加することを検討してください。
• 手動で dbutil_2_3.sys ファイルを削除する。ファイルは C:\Users\<ユーザー名>\AppData\Local\Temp や C:\Windows\Temp などの一時フォルダに存在する場合があります。 (ただし、推奨は公式の削除ツールの利用です。)

5. 他に解説すべき観点

• 発見者: この脆弱性は、主にSentinelOneの研究者によって発見され、2020年12月1日にDellに報告されました。 また、CrowdStrikeも独立してこの脆弱性を報告しています。
• 長期間の存在: このドライバに存在する脆弱性は、少なくとも2009年以降、約12年間にわたって修正されずに存在していました。
• 正規の署名: 脆弱なドライバはDellによって正規に署名されているため、従来のセキュリティソリューションによる検出が困難でした。

---

参照したサイト

• CVE-2021-21551: Dell Dbutil Privilege Escalation Flaw - SentinelOne
• CVE-2021-21551 - CVE Record
• NVD-CVE-2021-21551 - National Institute of Standards and Technology
• 2009年以降のDell製端末のドライバに脆弱性 - アップデートが順次公開、未提供の場合も削除を - Security NEXT
• CrowdStrike FalconはDell製ドライバの脆弱性（CVE-2021-21551）を悪用するカーネル攻撃を検知 | ScanNetSecurity
• CVE-2021-21551- Hundreds Of Millions Of Dell Computers At Risk Due to Multiple BIOS Driver Privilege Escalation Flaws - SentinelLabs - SentinelOne
• 2009年以降の Dell社製端末における重大なセキュリティ脆弱性（CVE-2021-21551）への対応について
• DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver | Dell US
• Dell製端末のドライバ dbutil_2_3.sysに脆弱性 CVE-2021-21551 メモリ破損や入力検証の不備
• デルBIOSドライバーにおける特権昇格脆弱性（CVE-2021-21551）の検出 - SOC Prime
• Dell 製ドライバーに存在し続ける Windows Kernel レベル攻撃の脆弱性 - IoT OT Security News
• Dell Firmware Update Driver Vulnerability CVE-2021-21551 - Cyberint
• Information on the Dell kernel driver vulnerability CVE-2021-21551 - Sophos Support
• 2021-07-03-CVE-2021-21551漏洞分析 - Hacking Everyday
• CrowdStrike Detects Dell Driver Vulnerability CVE-2021-21551
• Dell潜藏12年的驱动漏洞影响数百万计算机 - 嘶吼
• Dell潜藏12年的驱动漏洞影响数百万计算机 - 百度安全
• CVE-2021-21551 — dbutil_2_3.sys における任意のカーネル読み書き - Kitploit
• Dell製PCに脆弱性。AlienwareやInspironなどが対象。『dbutil_2_3.sys』を削除するよう案内
• DELL Client Firmware Update Utility のカーネルドライバにおいて ...