Публикация Coreboot 4.17

Публикувано е издание на проекта CoreBoot 4.17, в рамките на който се разработва свободна алтернатива на проприетарните фърмуер и BIOS. Кодът на проекта се разпространява под лицензия GPLv2. В създаването на новата версия участваха 150 разработчици, които подготвиха над 1300 промени.

Основни промени:

• Отстранена е уязвимост (CVE-2022-29264), проявяваща се в изданията на CoreBoot от 4.13 до 4.16 и позволяваща на системи с AP (Application Processor) да изпълнят код на ниво SMM (System Management Mode), по-приоритетно (Ring -2), отколкото режимът на хипервизор и нулевото защитно ниво, и имайки неограничен достъп до цялата памет. Проблемът е причинен от неправилен извикване на обработчика SMI в модула smm_module_loader.
• Добавена е поддръжка за 12 дънни платки, 5 от които се използват в устройства с Chrome OS или в сървъри Сред не свързаните с Google платки:
  • Clevo L140MU / L141MU / L142MU
  • Dell Precision T1650
  • HP Z220 CMT Workstation
  • Star Labs LabTop Mk III (i7-8550u), LabTop Mk IV (i3-10110U, i7-10710U), Lite Mk III (N5000) и Lite Mk IV (N5030).
• Поддръжката на дънни платки Google Deltan и Deltaur е прекратена.
• Добавен е нов payload coreDOOM, който позволява да се стартира играта DOOM от Coreboot. В проекта е използван кодът doomgeneric, портнат на libpayload. За изхода се използва линейният фреймбуфер Coreboot, а WAD файловете с игровите ресурси се зареждат от CBFS.
• Актуализирани са payload компонентите SeaBIOS 1.16.0 и iPXE 2022.1.
• Добавен е режим SeaGRUB (GRUB2 над SeaBIOS), който позволява в GRUB2 да се използват предоставените от SeaBIOS callback извиквания, например за достъп до оборудване, до което от payload GRUB2 няма достъп.
• Добавена е защита от атака SinkHole, позволяваща изпълнение на код на ниво SMM (System Management Mode).
• Реализирана е вградена възможност за генериране на статични таблици на страници памет от асемблерни файлове, без необходимост от извикване на външни утилити.
• Разрешено е записването на отладъчна информация в конзолата CBMEMC от обработчиците SMI при използване на DEBUG_SMI.
• Променена е системата на обработчиците за инициализация CBMEM, вместо свързани със стадии обработчици *_CBMEM_INIT_HOOK са предложени два обработчика CBMEM_CREATION_HOOK (използва се на начален етап, създаващ cbmem) и CBMEM_READY_HOOK (използва се на всякакви етапи, когато cbmem вече е създаден).
• Добавена е поддръжка за PSB (Platform Secure Boot), активирана от процесора PSP (Platform Security Processor) за проверка на целостта на BIOS по цифров подпис.
• Добавена е собствена реализация на обработчика за отладъчни данни, предавани от FSP (FSP Debug Handler).
• Добавени специфични за производителите TIS-функции (TPM Interface Specification) за четене и запис директно от регистрите на TPM (Trusted Platform Module) — tis_vendor_read() и tis_vendor_write().
• Добавена поддръжка за прихващане на разименувания на нулеви указатели чрез отладъчни регистри.
• Реализирано е разпознаване на устройства i2c, улесняващо работата с платки, оборудвани с тъчпадове или сензорни екрани на различни производители.
• Добавена е възможност за запазване на данни за времето в формат, подходящ за генериране на графици FlameGraph, които наглядно демонстрират какво време се изразходва на различни етапи на стартиране.
• В утилитата cbmem е добавена опция за добавяне в таблицата cbmem «timestamp» на времето от пространството на потребителя, което позволява отразяване в cbmem на събития на етапите, изпълнявани след CoreBoot.

Допълнително може да се отбележи публикуването от фонда OSFF (Open-Source Firmware Foundation) на отворено писмо до компанията Intel, в което се предлага да се направят по-модулни пакетите за поддръжка на фърмуер (FSP, Firmware Support Package) и да започнат да публикуват документация, свързана с инициализацията на SoC Intel. Липсата на код FSP значително затруднява създаването на отворени фърмуери и пречи на напредъка на проектите Coreboot, U-Boot и LinuxBoot на оборудване от Intel. Преди това подобна инициатива бе успешна и компания Intel освободи кода на поисканите от общността фърмуери на блока PSE (Programmable Services Engine).

Източник: opennet.ru