專業處理固件威脅的安全研究公司Binarly，剛剛在周二的一篇博客文章中披露了InsydeH2O“Hardware-2-Operating System”UEFI BIOS 中存在的問題。作為微軟、英特爾、惠普、戴爾、聯想、西門子、富士通等多家科技巨頭的固件供應商，這意味著它們都易受將近兩打安全漏洞的影響。

Binarly.io在網站上披露了總共23 個此類漏洞，可知其主要波及所謂的“系統管理模式”（簡稱SMM）：

由於這是固件級別的缺陷，因而成功利用可能導致幾乎無法擺脫的持久性惡意軟件。

其中大多數漏洞（CVSS 評分7.5 – 8.2 / 高危）可利用SMM 權限執行代碼，在藉此繞過安全功能之後，這些漏洞還可在長期持久性的第二階段繼續發揮作用。

得逞後，攻擊者可讓消費者在重裝系統後也無法擺脫頑固的惡意軟件，並允許其繞過端點安全解決方案（EDR / AV）、安全啟動、以及基於虛擬化的安全隔離措施。

更糟糕的是，由於可信平台模塊（TPM）的固件運行時可見性設計限制，固件完整性監測系統和遠程設備健康證明解決方案也無法檢測到對所有已發現漏洞的主動利用。

據悉，Binarly 首先是在富士通LifeBook 筆記本電腦上發現了這一漏洞，然後很快意識到其它供應商也面臨同樣的問題—— 因為它們都選用了InsydeH2O UEFI 解決方案。