Le fabricant présente son application comme un « support automatisé proactif et prédictif » pour le matériel et le logiciel. Elle est « préinstallée sur la plupart des nouveaux appareils Dell qui exécutent un système d’exploitation Windows », une faille de sécurité touche donc potentiellement de très nombreux utilisateurs.
Et c'est justement le cas des moutures antérieures à la 3.2.0.90 qui « contiennent une vulnérabilité de validation d’origine incorrecte ». Ainsi, « un pirate non authentifié, qui partage la couche d’accès réseau avec le système vulnérable, peut compromettre le système vulnérable en incitant un utilisateur de la victime à télécharger et lancer des exécutables arbitraires via le client SupportAssist à partir de sites hébergés par les pirates ».
Une mise à jour de SupportAssist est disponible par ici.
Commentaires (7)
#1
Pas étonnant au vu de la qualité générale des applications Dell
#2
Les détails pour ceux que ça intéressehttps://d4stiny.github.io/Remote-Code-Execution-on-most-Dell-computers/ (par un expert en sécurité précoce ^^)
#3
Ça étonne encore quelqu’un ça ?
#4
Très bien détaillé. Merci.
Je tolérais supportassist sur mon pc depuis un moment, je vais le retirer dès ce soir.
Si j’ai besoin d’une mise à jour de pilote je peux télécharger le tout manuellement.
#5
C’est une blague ? J’ai un XPS 13 depuis deux ans, c’est l’hallu’ niveau support logiciel, première fois de ma vie que je vois un constructeur faire du si bon boulot, et ne pas sous-traiter pour le bios/UEFI et proposer tant de mises à jour à ce niveau…
En prime la machine est certifiée compatible Linux et je n’ai pas besoin de Windows pour tout ça !
Mais pour ce que j’en ai vu sous Windows, SupportAssist est bien développé aussi, pas trop lourd, bien pensé et accessible pour gérer toutes les majs.
Personne n’est à l’abri d’une faille, de là à leur jeter la pierre faut pas déconner…
#6
+1 les soft Dell sont à des années lumières des concurrents que j’ai pu testé.
Le simple fait d’avoir un endroit unique pour charger pilote / firmware / bios c’est top, il n’y’a pas de logiciel de demo par défaut bref c’est bien supérieur à la concurrence.
Sur le fond, ça reste un faux problème “partage la couche d’accès réseau avec le système vulnérable” : donc faut déjà avoir hacké le réseau de l’entreprise pour pouvoir exploiter cette faille (qui demandera validation à l’utilisateur avant d’exécuter le soft). Bref un simple phishing écrit sans faute sera plus efficace à mon avis.
#7
Sur une machine Pro, j’ai tous mes drivers à jour à part 2 qui ne s’installent pas (Erreur systématique à l’installation) et une machine qui est incapable de sortir de veille correctement lorsque je suis rattaché à une base Dell. ( Autour de moi j’ai 4 personnes avec les mêmes soucis car même config en Precision 5510)
Cela voudrait dire d’après vos commentaires que ce serait les packages de drivers qui seraient approximatifs.
Merci en tous cas pour vos retours.