華碩被指通過未經加密的HTTP更新BIOS和UEFI固件

華碩電腦預裝的更新軟件ASUS LiveUpdate被發現通過明文HTTP更新關鍵的BIOS和UEFI固件 ，而且在安裝時還不對內容源進行任何的驗證。LiveUpdate客戶端應該存在了很長時間，它通過未加密的明文HTTP連接向更新服務器如liveupdate01.asus.com 或dlcdnet.asus.com發出請求。 攻擊者很容易誘騙LiveUpdate相信一個惡意程序是合法的系統更新。

>>阅读原文<<