In u quadru InsydeH2O, utilizatu da parechji pruduttori per creà firmware UEFI per i so equipaghji (l'implementazione più cumuna di UEFI BIOS), 23 vulnerabilità sò state identificate chì permettenu à u codice per esse eseguitu à u livellu SMM (System Management Mode), chì hà un priorità più altu (Ring -2) cà u modu hypervisor è un anellu zero di prutezzione, è avè accessu illimitatu à tutta a memoria. U prublema afecta u firmware UEFI utilizatu da i pruduttori cum'è Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel è Bull Atos.
A sfruttamentu di i vulnerabili richiede l'accessu lucale cù i diritti di l'amministratore, chì rende i prublemi populari cum'è vulnerabilità di u sicondu livellu, aduprate dopu a sfruttamentu di altre vulnerabilità in u sistema o l'usu di metudi di ingegneria suciale. L'accessu à u nivellu SMM permette di eseguisce codice à un livellu micca cuntrullatu da u sistema operatore, chì pò esse usatu per mudificà u firmware è lascià u codice malicious o rootkits nascosti in u SPI Flash chì ùn sò micca rilevati da u sistema operatore, è ancu. per disattivà a verificazione in u stadiu di boot (UEFI Secure Boot, Intel BootGuard) è attacchi à l'ipervisori per bypassà i miccanismi per verificà l'integrità di l'ambienti virtuali.
Sfruttamentu di e vulnerabilità pò esse realizatu da u sistema operatore utilizendu gestori SMI (System Management Interrupt) micca verificatu, è ancu in a fase di pre-esekzione di u sistema operatore durante i primi stadi di l'avvio o di vultà da u modu di sonnu. Tutte e vulnerabilità sò causate da prublemi di memoria è sò divisi in trè categurie:
- SMM Callout - esecuzione di u vostru codice cù diritti SMM redirigendu l'esekzione di i gestori di interruzzione SWSMI à u codice fora di SMRAM;
- A corruzzione di memoria chì permette à un attaccu di scrive i so dati à SMRAM, una zona speciale di memoria isolata in quale u codice hè eseguitu cù diritti SMM.
- Corruzzione di memoria in codice in esecuzione à u livellu DXE (Driver eXecution Environment).
Per dimustrà i principii di l'urganizazione di un attaccu, un esempiu di sfruttamentu hè statu publicatu, chì permette, attraversu un attaccu da u terzu o zero anellu di prutezzione, per accede à u DXE Runtime UEFI è eseguisce u vostru codice. U sfruttamentu manipula un overflow di stack (CVE-2021-42059) in u driver UEFI DXE. Durante l'attaccu, l'attaccu pò mette u so codice in u driver DXE, chì ferma attivu dopu chì u sistema operatore hè riavviatu, o fà cambiamenti à l'area NVRAM di u SPI Flash. Durante l'esekzione, u codice di l'attaccante pò fà cambiamenti à e zone di memoria privilegiate, mudificà i servizii EFI Runtime, è influenzà u prucessu di boot.
Source: opennet.ru