Ümumi olaraq PixieFAIL kod adı ilə server sistemlərində istifadə olunan TianoCore EDK2 açıq platformasına əsaslanan UEFI mikroproqramında doqquz boşluq müəyyən edilib. Zəifliklər şəbəkə yüklənməsini (PXE) təşkil etmək üçün istifadə edilən şəbəkə mikroproqramı yığınında mövcuddur. Ən təhlükəli zəifliklər təsdiqlənməmiş təcavüzkarın IPv9 şəbəkəsi üzərindən PXE-nin yüklənməsinə imkan verən sistemlərdə proqram təminatı səviyyəsində uzaqdan kod icra etməyə imkan verir.
Daha az ciddi problemlər xidmətdən imtina (yükləmənin bloklanması), məlumat sızması, DNS keşinin zəhərlənməsi və TCP sessiyasının qaçırılması ilə nəticələnir. Əksər boşluqlar yerli şəbəkədən istifadə oluna bilər, lakin bəzi boşluqlar xarici şəbəkədən də hücuma məruz qala bilər. Tipik hücum ssenarisi, yerli şəbəkədə trafikin monitorinqi və sistemin PXE vasitəsilə yüklənməsi ilə bağlı fəaliyyət aşkar edildikdə, xüsusi hazırlanmış paketlərin göndərilməsi ilə nəticələnir. Yükləmə serverinə və ya DHCP serverinə giriş tələb olunmur. Hücum texnikasını nümayiş etdirmək üçün prototip istismarları dərc edilmişdir.
TianoCore EDK2 platformasına əsaslanan UEFI proqram təminatı bir çox böyük şirkətlərdə, bulud provayderlərində, məlumat mərkəzlərində və hesablama klasterlərində istifadə olunur. Xüsusilə, PXE yükləmə tətbiqi ilə həssas NetworkPkg modulu ARM, Insyde Software (Insyde H20 UEFI BIOS), American Megatrends (AMI Aptio OpenEdition), Phoenix Technologies (SecureCore), Intel, Dell və Microsoft (Project Mu) tərəfindən hazırlanmış proqram təminatında istifadə olunur. ). Boşluqların repozitoriyada EDK2 paketi olan ChromeOS platformasına da təsir etdiyi güman edilirdi, lakin Google bu paketin Chromebook-lar üçün proqram təminatında istifadə olunmadığını və ChromeOS platformasının problemdən təsirlənmədiyini bildirib.
Müəyyən edilmiş zəifliklər:
- CVE-2023-45230 - DHCPv6 müştəri kodundakı bufer daşması, çox uzun server ID-si (Server ID seçimi) vasitəsilə istismar olunur.
- CVE-2023-45234 - DHCPv6 serverinin mövcudluğunu bildirən mesajda ötürülən DNS server parametrləri ilə seçimi emal edərkən bufer daşması baş verir.
- CVE-2023-45235 - DHCPv6 proksi elanı mesajlarında Server ID seçimini emal edərkən bufer daşması.
- CVE-2023-45229, DHCP serverini reklam edən DHCPv6 mesajlarında IA_NA/IA_TA seçimlərinin işlənməsi zamanı baş verən tam ədəd axınıdır.
- CVE-2023-45231 Kəsilmiş seçim dəyərləri ilə ND Yönləndirmə (Qonşu Kəşf) mesajlarını emal edərkən buferdən kənar məlumat sızması baş verir.
- CVE-2023-45232 Təyinat Seçimləri başlığında naməlum variantları təhlil edərkən sonsuz döngə yaranır.
- CVE-2023-45233 Paket başlığında PadN seçimini təhlil edərkən sonsuz döngə yaranır.
- CVE-2023-45236 - TCP bağlantısının sıxılmasına icazə vermək üçün proqnozlaşdırıla bilən TCP ardıcıllığının toxumlarından istifadə.
- CVE-2023-45237 – Proqnozlaşdırıla bilən dəyərlər yaradan etibarsız psevdo-təsadüfi ədəd generatorunun istifadəsi.
Zəifliklər 3 avqust 2023-cü ildə CERT/CC-yə təqdim edilib və açıqlama tarixi 2 noyabra planlaşdırılıb. Bununla belə, bir çox satıcılar arasında razılaşdırılmış yamaq buraxılışına ehtiyac olduğu üçün buraxılış tarixi əvvəlcə 1 dekabr, sonra 12 dekabr və 19 dekabr 2023-cü il tarixlərinə təxirə salındı, lakin sonda 16 yanvar 2024-cü ildə açıqlandı. Eyni zamanda, Microsoft məlumatın dərcini may ayına qədər təxirə salmağı xahiş etdi.
Mənbə: opennet.ru