Intel har bekræftet ægtheden af UEFI-firmwaren og BIOS-kildekoderne udgivet af en ukendt person på GitHub. I alt 5.8 GB kode, hjælpeprogrammer, dokumentation, blobs og indstillinger relateret til generering af firmware til systemer med processorer baseret på Alder Lake-mikroarkitekturen, udgivet i november 2021, blev offentliggjort. Den seneste ændring af den offentliggjorte kode var dateret den 30. september 2022.
Ifølge Intel opstod lækagen på grund af en tredjeparts fejl og ikke som følge af en kompromittering af virksomhedens infrastruktur. Det nævnes også, at den lækkede kode er dækket af Project Circuit Breaker-programmet, som giver belønninger fra $500 til $100000 for at identificere sikkerhedsproblemer i Intels firmware og produkter (hvilket antyder, at forskere kan modtage belønninger for at rapportere sårbarheder opdaget ved hjælp af indholdet af lække).
Det er ikke specificeret, hvem der præcist blev kilden til lækagen (OEM-udstyrsproducenter og virksomheder, der udviklede tilpasset firmware, havde adgang til værktøjerne til at samle firmware). En analyse af indholdet af det offentliggjorte arkiv afslørede nogle tests og tjenester, der er specifikke for Lenovo-produkter ("Lenovo Feature Tag Test Information", "Lenovo String Service", "Lenovo Secure Suite", "Lenovo Cloud Service"), men Lenovos involvering i lækagen endnu ikke bekræftet. Arkivet afslørede også værktøjer og biblioteker fra virksomheden Insyde Software, som udvikler firmware til OEM'er, og git-loggen indeholder en e-mail fra en af medarbejderne i LC Future Center-virksomheden, som producerer bærbare computere til forskellige OEM'er. Begge virksomheder samarbejder med Lenovo.
Ifølge Intel indeholder den offentligt tilgængelige kode ikke fortrolige data eller komponenter, der kan bidrage til afsløringen af nye sårbarheder. Samtidig identificerede Mark Ermolov, der har specialiseret sig i at forske i sikkerheden på Intel-platforme, i det offentliggjorte arkiv oplysninger om udokumenterede MSR-registre (Model Specific Registers, der bl.a. bruges til mikrokodestyring, sporing og debugging), information vedr. som er underlagt en tavshedspligt. Desuden blev der fundet en privat nøgle i arkivet, brugt til digital signering af firmware, som potentielt kan bruges til at omgå Intel Boot Guard-beskyttelse (funktionaliteten af nøglen er ikke blevet bekræftet; det er muligt, at dette er en testnøgle).
Kilde: opennet.ru