LogoFAIL — атака на UEFI-прошивки через подстановку вредоносных логотипов

Исследователи из компании Binarly выявили серию уязвимостей в коде разбора изображений, используемом в UEFI-прошивках различных производителей. Уязвимости позволяют добиться выполнения своего кода во время загрузки через размещение специально оформленного изображения в разделе ESP (EFI System Partition) или в не заверенной цифровой подписью части обновления прошивки. Предложенный метод атаки может использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot и аппаратных механизмов защиты, таких как Intel Boot Guard, AMD Hardware-Validated Boot и ARM TrustZone Secure Boot.

Проблема вызвана тем, что прошивки позволяют выводить указанные пользователем логотипы и используют для этого библиотеки разбора изображений, выполняемые на уровне прошивки без сброса привилегий. Отмечается, что современные прошивки включают код для разбора форматов BMP, GIF, JPEG, PCX и TGA, в котором присутствуют уязвимости, приводящие к переполнению буфера во время разбора некорректных данных.

Уязвимости выявлены в прошивках, поставляемых различными поставщиками оборудования (Intel, Acer, Lenovo) и производителями прошивок (AMI, Insyde, Phoenix). Так как поблемный код присутствует в эталонных компонентах, предоставляемых независимыми поставщиками прошивок и используемых в качестве основы для создания своих прошивок различными производителями оборудования, уязвимости не специфичны для конкретных поставщиков и затрагивают всю экосистему.

Подробности о выявленных уязвимостях обещают раскрыть 6 декабря на конференции Black Hat Europe 2023. В презентации на конференции также будет продемонстрирован эксплоит, позволяющий выполнить свой код с правами прошивки на системах с архитектурой x86 и ARM. Изначально уязвимости были выявлены в ходе анализа прошивок Lenovo, построенных на базе платформ от Insyde, AMI и Phoenix, но в качестве потенциально уязвимых также упоминаются прошивки от Intel и Acer.

Источник: opennet.ru