Dell电脑内建管理软件SupportAssist 爆权限升级漏洞

Dell上周公告，Dell电脑内建的管理软件SupportAssist出现高风险漏洞，使不具管理员权限的第三者，得以植入任意DLL档执行攻击，呼吁用户尽速升级到最新版本。

这项编号CVE-2020-5316的漏洞，是由安全厂商CyberArk研究员Eran Shimony发现并通报Dell。它是一个不受控管的搜寻路径（Uncontrolled Search Path）漏洞，可使拥有较低本机权限的用户，利用SupportAssist binaries植入任意DLL档案而升高其权限，进而执行任意程式码。本项漏洞被列为高度风险。

SupportAssist是Dell家用及商用电脑内建的免费主动监控软件，会自动侦测Dell 电脑与平板电脑的故障并发出通知。

受到本漏洞影响的包括Dell商用电脑中的SupportAssist for business 2.1.4版，以及家用电脑中的SupportAssist for home 3.4.1版。Dell建议企业和一般用户应尽速升到最新版本。

由于SupportAssist的软、硬件检测，需要具备较高权限，因此某些元件是以管理员权限执行，而这也不是该软件第一次爆出漏洞。去年4月和6月，便有安全公司接连揭露SupportAssist含有二个可能导致远端程式攻击及接管电脑的漏洞。

之前也曾通报Dell的研究员Shimony说，这次 Dell从被通报到修补完成只花了3个月，已经有进步了，之前平均得等5个月。