PixieFAIL — уязвимости в сетевом стеке прошивок UEFI, используемом для PXE-загрузки

В UEFI фърмуерите на базата на отворената платформа TianoCore EDK2, обикновено използвани в сървърни системи, бяха открити 9 уязвимости, обединени под кодовото име PixieFAIL. Уязвимостите присъстват в мрежовия стек на фърмуерите, използвани за организиране на мрежово зареждане (PXE). Най-опасните уязвимости позволяват на неавтентифициран атакуващ да инициира отдалечено изпълнение на собствен код на ниво фърмуер в системи, поддържащи PXE зареждане с помощта на мрежа IPv6.

По-малко опасните проблеми водят до отказ в обслужването (блокиране на зареждането), изтичане на информация, отравяне на DNS кеша и прихващане на TCP сесии. Голямата част от уязвимостите могат да бъдат експлоатирани от локалната мрежа, но отделни уязвимости позволяват и атака от външна мрежа. Типичният сценарий на атака включва мониторинг на трафика в локалната мрежа и изпращане на специално форматирани пакети при откритие на активност, свързана с зареждане на системата по PXE. Наличието на достъп до сървър заслужетността или DHCP сървъра не е необходимо. За демонстрация на техниката на атака са публикувани прототипи на експлойти.

UEFI фърмуерът на базата на платформата TianoCore EDK2 се използва от много големи компании, облачни доставчици, ЦОД и компютърни клъстери. В частност, уязвимият модул NetworkPkg с реализиране на PXE зареждане се използва в фърмуерите, разработвани от компании като ARM, Insyde Software (Insyde H20 UEFI BIOS), American Megatrends (AMI Aptio OpenEdition), Phoenix Technologies (SecureCore), Intel, Dell и Microsoft (Project Mu). Предполагаше се, че уязвимостите също засягат платформата ChromeOS, в която има пакет EDK2, но компанията Google заяви, че този пакет не се използва в фърмуерите за устройства Chromebook и платформата ChromeOS не е уязвима.

Установени уязвимости:

• CVE-2023-45230 — препълване на буфер в кода на клиента DHCPv6, експлоатирано чрез предаване на твърде дълъг идентификатор сървър (опция Server ID).
• CVE-2023-45234 — препълване на буфер при обработка на опция с параметри на DNS сървъра, предавани в съобщението, анонсиращо наличието на сървър DHCPv6.
• CVE-2023-45235 — препълване на буфер при обработка на опция с идентификатор на сървъра (Server ID) в съобщенията с анонси на прокси сървъра за DHCPv6.
• CVE-2023-45229 — целочислено препълване чрез долна граница (underflow), проявяващо се при обработка на опции IA_NA/IA_TA в съобщения DHCPv6, анонсиращи DHCP сървър.
• CVE-2023-45231 — изтичане на данни извън буфера при обработка на съобщения ND Redirect (Neighbor Discovery) с укорочени стойности на опциите.
• CVE-2023-45232 — безкрайно циклене при анализиране на неизвестни опции в заглавката с параметри за цел (Destination Options).
• CVE-2023-45233 — безкрайно циклене при анализиране на опцията PadN в заглавката на пакета.
• CVE-2023-45236 — използване на предсказуеми начални номера на TCP последователности, което позволява нахлуване в TCP връзката.
• CVE-2023-45237 — използване на ненадежден генератор на псевдослучайни числа, който произвежда предсказуеми стойности.

Информацията за уязвимостите беше изпратена в CERT/CC на 3 август 2023 г., а датата на разкриване на информацията беше предвидена за 2 ноември. Въпреки това, поради необходимостта от координирано издаване на поправки, обхващащи много производители, датата на публикуване първоначално беше преместена на 1 декември, а след това отложена за 12 декември и 19 декември 2023 г., но в крайна сметка беше разкрита на 16 януари 2024 г. При това компанията Microsoft поиска да се отложи оповестяването на данните до май.

Източник: opennet.ru