Средства обновления прошивок док-станций Dell и Lenovo содержат уязвимости, ведущие к повышению привилегий и отказу в обслуживании

Средства обновления прошивок док-станций Dell и Lenovo содержат уязвимости, которые дают локальному злоумышленнику повысить привилегии или вызвать отказ в обслуживании. В их числе CVE-2023-43078 в утилите Dell для WD19 и WD22TB4 и CVE-2022-4569 в средстве Lenovo для ThinkPad Hybrid USB-C with USB-A. Dell оценивает первую проблему в 6.7 балла по шкале CVSS (система оценки уязвимостей), это средний уровень. NVD (Национальная база уязвимостей) приводит 7.3, высокий уровень. Lenovo присвоила своей 7.8, высокий уровень. Для атаки нужен локальный доступ, то есть учётная запись или выполнение кода на компьютере.

Четыре уязвимости, настройки BIOS и защита DMA

Для WD19 и WD22TB4 исправление содержится в прошивке 01.00.36. Для SD25 и SD25TB4 другая уязвимость затрагивает прошивку до 01.00.08.01; исправление указано для версии 01.00.08.01. Отдельный бюллетень Dell DSA-2024-014 касается компонента Intel Thunderbolt и драйвера. Dell обновила статью о настройках 22 мая 2026 года. Сведений об эксплуатации этих четырёх проблем в реальных атаках в исходных данных нет.

Средства обновления как часть поверхности атаки

Уязвимость CVE-2023-43078 связана с неверным разрешением ссылок в утилите обновления прошивки. Использовать ошибку для повышения привилегий или отказа в обслуживании может локальный пользователь. Dell относит проблему к среднему уровню с оценкой 6.7, NVD к высокому с 7.3. В средстве обновления Lenovo есть CVE-2022-4569, она даёт локальное повышение привилегий и имеет оценку 7.8, высокий уровень. Общая черта обеих проблем - компрометация инструмента, который запускают для установки исправлений. Поэтому средство обновления входит в поверхность атаки наравне с прошивкой дока. Если организация проверяет только версию прошивки, но не обновляет утилиту, риск сохраняется.

В Linux плагин fwupd для док-станций Dell обновляет USB-концентраторы и встроенный контроллер. Изменения применяются после отключения кабеля USB-C от компьютера. Отдельный плагин отвечает за контроллер Thunderbolt. В Windows обновление выполняет Dell Firmware Utility.

Прошивка, журналы и контроллер Thunderbolt

Бюллетень DSA-2024-014 описывает уязвимость в компоненте Intel Thunderbolt. В нём Dell указывает драйвер и относит проблему к среднему уровню. NVD описывает некорректный контроль доступа в прошивке контроллера Intel Thunderbolt. С самого компьютера возможна атака, оценка Intel 6.1 балла по CVSS 3.1, средний уровень. Другая проблема затрагивает док-станции Dell Pro Smart Dock SD25 и SD25TB4 с прошивкой до 01.00.08.01. В этом случае прошивка записывает чувствительную информацию в файл журнала. Dell даёт 7.1 балла, высокий уровень; NVD приводит 5.5, средний. Все четыре проблемы требуют локального доступа, поэтому их последствия связаны с повышением привилегий и своевременной установкой исправлений.

Настройки BIOS блокируют обновление дока

Защитные настройки могут помешать обновлению дока. В статье Dell для HD22Q, WD19 и WD22TB4 описан случай с отключённым параметром Enable External USB Port и включённым Type-C dock LAN. Статья обновлена 22 мая 2026 года. Тогда порт локальной сети дока перестаёт работать, а Dell Firmware Utility не может обновить док. Аналогично Microsoft в рекомендациях по USB4 допускает настройку прошивки, которая отключает туннелирование PCIe (передачу данных PCIe через разъём) ради безопасности. При включении такой опции Windows не создаёт туннели PCIe. Док-станции Thunderbolt 3 могут не определиться, поскольку их функции USB находятся за контроллером, подключённым по PCIe. Microsoft предлагает отключить альтернативный режим Thunderbolt 3, чтобы док перешёл на USB 3.x и DisplayPort. Перед массовым внедрением базовой конфигурации нужно разделить доки по типу подключения и проверить обновление на нескольких рабочих местах. В инвентаризации полезно хранить тип подключения, модель и версию прошивки.

Защита DMA зависит от хоста

Вторая часть проблемы связана с доступом к памяти. К интерфейсам горячей замены PCIe относятся Thunderbolt; USB4; CFexpress. Подключённое устройство может читать и записывать системную память без участия процессора, если IOMMU (блок управления памятью ввода-вывода) не блокирует доступ. По описанию Microsoft, атаки прямого доступа к памяти (DMA) происходят в отсутствие владельца. Они занимают минуты, используют дешёвое готовое оборудование и не требуют разборки ПК. В 2020 году Intel сделала защиту DMA на основе VT-d обязательной для компьютеров Thunderbolt 4. В Windows Pro, Enterprise и Education защита DMA на уровне ядра применяет IOMMU и блокирует внешние устройства, драйверы которых не поддерживают переадресацию DMA. По умолчанию она действует до входа в систему или разблокировки экрана. При этом защита не покрывает загрузку; на портах Thunderbolt 3 эту роль выполняет прошивка. Статус может отображаться как выключенный, если VT-d отключён в UEFI. Если статус выключен, проверьте Intel Virtualization Technology и Intel VT-d в UEFI. На ноутбуках Apple silicon по умолчанию нужно одобрить новое устройство, а Mac должен быть разблокирован. Apple описывает отдельный IOMMU для каждого агента DMA, включая PCIe и Thunderbolt. Эта схема отличается от Windows, поэтому политика Windows не переносится на macOS автоматически.

Исследования Thunderspy и Thunderclap показывают, что происходит при пропуске таких деталей. В 2020 году исследователи Thunderspy опубликовали описание атак на Thunderbolt 1, 2 и 3. Авторы утверждают, что при кратком физическом доступе можно прочитать данные с заблокированного или спящего компьютера. По их словам, защита DMA на уровне ядра снижает риск лишь частично, а Intel отказалась выпускать CVE. Thunderclap представили в 2019 году; исследователи использовали устройство на программируемой вентильной матрице (FPGA), которое выдавало себя за сетевую карту, и показали слабости в использовании IOMMU операционными системами. После раскрытия Microsoft включила поддержку IOMMU для Thunderbolt в Windows 10 1803. Оба исследования вышли до анонса Thunderbolt 4 в июле 2020 года, поэтому переносить их выводы на хосты Thunderbolt 4 без проверки нельзя.

Сеть, MAC-адреса и инвентаризация

Отдельный пункт инвентаризации связан с сетевыми функциями дока. Dell SD25TB4 поддерживает загрузку по сети (PXE boot); MAC Address Pass-Through; включение по сети (Wake-on-LAN) на отдельных компьютерах. Если доступ контролируется по MAC-адресу, проверьте, какой адрес представляет док в сети.

Управляемой док-станцию делают известная версия прошивки, назначенный ответственный и проверенная конфигурация. Настройки безопасности, которые отключают внешние порты или туннелирование PCIe, требуют отдельной проверки на совместимость с обновлением. Обновлять нужно и средства обновления, иначе защита мешает установке исправлений, а уязвимость в утилите сохраняет риск повышения привилегий.