HPSBGN03575 Rev. 1 - Sicherheitsrisiko der BIOS-Passwort-Extrahierung bei bestimmten HP Notebooks

Hinweis: Die Informationen in diesem Sicherheits-Bulletin sollten umgehend berücksichtigt werden.

Veröffentlichungsdatum : 25-Jan-2018

Letzte Aktualisierung: : 25-Jan-2018

Potenzielle Sicherheitsauswirkungen:

Auf das unverschlüsselte Passwort konnte durch CMOS-Hilfsprogrammen zugegriffen werden.

Quelle: HP, HP Product Security Response Team (PSRT)

Gemeldet von: Bader Zaidan

ÜBERSICHT DER SICHERHEITSRISIKEN

Ein Sicherheitsrisiko der BIOS-Passwort-Extrahierung wurde bei bestimmten Endverbraucher-Notebooks gemeldet. Das BIOS-Passwort wurde im CMOS in einer Weise gespeichert, die die Extrahierung des Passworts ermöglichte. Dies bezieht sich auf Endverbraucher-Notebooks, die Anfang 2014 eingeführt wurden.

Referenznummer

CVE-2017-2751, PSR-2017-0169

UNTERSTÜTZTE SOFTWAREVERSIONEN*: NUR betroffene Versionen sind aufgeführt.

Eine Liste der potenziell betroffenen HP Geräte finden Sie unten im Abschnitt AUFLÖSUNG.

Hinweis:
Endverbraucher-Notebooks, die Ende 2014 eingeführt wurden, sind nicht betroffen.

HINTERGRUND

Um eine PGP-signierte Version dieses Sicherheitsbulletins zu erhalten, wenden Sie sich an: hp-security-alert@hp.com.

CVSS-3.0-Basismetriken

Referenzinformationen	Basisvektor	Basiswert
CVE-2017-2751	CVSS:3.0/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N	4,9

Informationen zu CVSS sind im folgenden HP Kundenhinweis dokumentiert: HPSN2008002.

LÖSUNG

HP hat die folgenden Softpaqs veröffentlicht, um das Problem zu minimieren:

Marketingname	Aktuelle BIOS-Rev.	Softpaq-Nr.	FTP LINK
HP 240 G1 Notebook PC	F.48	TBU	TBU
HP 245 G1 Notebook PC	F.48	TBU	TBU
HP 1000-1300 bis 1000-1399 Notebook PC	F.48	TBU	TBU
Compaq CQ45-900 bis CQ45-999 Notebook PC	F.48	TBU	TBU
HP 250 G1 Notebook PC	F.47	TBU	TBU
HP 255 G1 Notebook PC	F.47	TBU	TBU
HP ENVY (TouchSmart) 15-J000 bis J099 Notebook PC	F.22	SP84266	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84266.exe
HP ENVY (TouchSmart) 15-J100 bis J199 Notebook PC	F.71	TBU	TBU
HP Pavilion (TouchSmart) 15-N000 bis 199 Notebook PC	F.72	TBU	TBU
HP 246 Notebook PC	F.04	TBU	TBU
HP 455 Notebook PC	F.08	TBU	TBU
HP ENVY (TouchSmart) 17-J100 bis J199 Notebook PC	F.71	TBU	TBU
HP ENVY (TouchSmart) 17-J100 bis J199 Leap Motion SE Notebook PC	F.71	TBU	TBU
HP Split 13-G200 bis 299 X2 PC	F.25	SP84274	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84274.exe
HP ENVY (TouchSmart) 100 bis 15-J199 Notebook PC	F.22	SP84266	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84266.exe
HP Pavilion (TouchSmart) 14-N000 bis 199 Notebook PC	F.72	TBU	TBU
HP ENVY (TouchSmart) 14-K100 bis 14-K199 Sleekbook	F.22	TBU	TBU
HP ENVY TouchSmart 14-K100 bis 14-K199 Ultrabook	F.22	TBU	TBU
HP Spectre X2 13-SMB Pro	F.25	SP84274	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84274.exe
HP Spectre 13-H200 bis 299 X2 PC	F.25	SP84274	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84274.exe
HP Pavilion 15-N200 bis 299 (TouchSmart) Notebook PC	F.72	TBU	TBU
HP Pavilion 15-N300 bis 399 (TouchSmart) Notebook PC	F.72	TBU	TBU
HP ENVY M6-N000 bis N099 Notebook PC	F.26	SP84537	http://ftp.hp.com/pub/softpaq/sp84501-85000/sp84537.exe
HP 255 G3 Notebook PC	F.45	SP84257	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84257.exe
HP 14-G000 bis G099 Notebook PC	F.45	SP84257	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84257.exe
Compaq 14-H000 bis H099	F.45	SP84257	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84257.exe
HP Pavilion 11-N000 bis N099 X360 PC	F.2E	SP84131	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84131.exe
HP 15-R000 bis R099 Notebook PC	F.43	SP84418	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84418.exe
HP 15-R500 bis R599 Notebook PC	F.43	SP84418	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84418.exe
HP Pavilion 10-F000 bis F099 Notebook PC	F.0E	TBU	TBU
HP G14-A000 bis A099 Notebook PC	F.06	SP84377	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84377.exe
HP 14-R000 bis R099 Notebook PC	F.43	SP84418	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84418.exe
Compaq 14-S000 bis S099 Notebook PC	F.43	SP84418	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84418.exe
HP 240 G3 Notebook PC	F.43	SP84418	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84418.exe
HP 246 G3 Notebook PC	F.43	SP84418	http://ftp.hp.com/pub/softpaq/sp84001-84500/sp84418.exe

Systemverwaltungs- und Sicherheitsverfahren müssen regelmäßig überprüft werden, um die Integrität des Systems zu gewährleisten. HP überprüft und verbessert die Sicherheitsmerkmale von Softwareprodukten kontinuierlich, um Kunden stets aktuelle und sichere Lösungen bereitzustellen.

"HP sorgt für eine umfassende Verbreitung dieses Sicherheits-Bulletins, um den Benutzern der betroffenen HP Produkte die wichtigen, in diesem Bulletin enthaltenen Sicherheitsinformationen zukommen zu lassen. HP empfiehlt allen Benutzern, die Relevanz der Informationen hinsichtlich ihrer speziellen Situation zu überprüfen und die erforderlichen Maßnahmen zu ergreifen. HP kann nicht dafür garantieren, dass die Informationen für sämtliche Situationen, denen die Benutzer gegenüber stehen, vollständig und korrekt sind. Daher haftet HP nicht für Schäden in Zusammenhang mit der Beachtung oder Nichtbeachtung der in diesem Bulletin bereitgestellten Informationen durch den Benutzer. Im gesetzlich zulässigen Rahmen lehnt HP jegliche stillschweigende oder ausdrückliche Gewährleistung ab, hierzu zählen auch die Gewährleistung der Markttauglichkeit und der Eignung für einen bestimmten Zweck sowie Gewährleistungen des Rechtstitels sowie der Nichtverletzung der Rechte Dritter."

ÄNDERUNGSVERLAUF : Version 1: Erstveröffentlichung am 24. Januar 2018

Die HP Inc. haftet nicht für technische oder redaktionelle Fehler oder Auslassungen in diesem Kurs. Die Informationen werden "wie gesehen" bereitgestellt und stellen keinerlei Gewährleistung dar. Im gesetzlich zulässigen Rahmen sind weder HP noch seine Partner, Subunternehmer oder Lieferanten für zufällige, Folge- oder besondere Schäden haftbar. Hierzu zählen: Kosten für Ausfallzeiten, Gewinnausfälle, Schäden in Zusammenhang mit der Bereitstellung von Ersatzprodukten oder -services oder Schäden in Zusammenhang mit dem Verlust von Daten oder der Wiederherstellung von Software. Inhaltliche Änderungen dieses Handbuchs behalten wir uns ohne Ankündigung vor. HP Inc. und die Namen der hier verwendeten HP Produkte sind Marken der HP Inc. in den USA und anderen Ländern. Weitere hier verwendete Produkt- oder Unternehmensnamen sind möglicherweise Marken ihrer jeweiligen Eigentümer.

SUPPORT-KOMMUNIKATION- SICHERHEITSBULLETIN

HPSBGN03575 Rev. 1 - Sicherheitsrisiko der BIOS-Passwort-Extrahierung bei bestimmten HP Notebooks

Zusätzliche Support-Optionen

Geben Sie ein Thema ein, um unsere Wissensbibliothek zu durchsuchen