{"id":103242,"date":"2022-02-08T09:36:38","date_gmt":"2022-02-08T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-uefi-proshivkah-na-baze-frejmvorka-insydeh2o-pozvolyayushhie-vypolnit-kod-na-urovne-smm"},"modified":"2022-02-08T09:36:38","modified_gmt":"2022-02-08T07:36:38","slug":"uyazvimosti-v-uefi-proshivkah-na-baze-frejmvorka-insydeh2o-pozvolyayushhie-vypolnit-kod-na-urovne-smm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-uefi-proshivkah-na-baze-frejmvorka-insydeh2o-pozvolyayushhie-vypolnit-kod-na-urovne-smm","title":{"rendered":"S\u00e5rbarheder i UEFI-firmware baseret p\u00e5 InsydeH2O-rammen muligg\u00f8r k\u00f8rsel af kode p\u00e5 SMM-niveau","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I InsydeH2O-rammen, der anvendes af mange producenter til at udvikle UEFI-firmware til deres udstyr (den mest udbredte implementering af UEFI BIOS), er der identificeret 23 s\u00e5rbarheder, der g\u00f8r det muligt at udf\u00f8re kode p\u00e5 SMM-niveau (System Management Mode), som har en h\u00f8jere prioritet (Ring -2) end hypervisorens mode og det nul beskytteringsniveau, og har ubegr\u00e6nset adgang til al hukommelse. Problemet ber\u00f8rer UEFI-firmware, der anvendes af producenter som Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel og Bull Atos. <\/p>\n
For at udnytte s\u00e5rbarhederne kr\u00e6ves lokal adgang med administratorrettigheder, hvilket g\u00f8r problemerne eftertragtede som andenslags s\u00e5rbarheder, der anvendes efter udnyttelse af andre s\u00e5rbarheder i systemet eller ved brug af sociale ingeni\u00f8rmetoder. Adgang p\u00e5 SMM-niveau g\u00f8r det muligt at udf\u00f8re kode p\u00e5 et niveau, der ikke er underlagt operativsystemet, hvilket kan bruges til at modificere firmware og efterlade skjult ondsindet kode eller rootkits i SPI Flash, som ikke kan opdages af operativsystemet, samt til at deaktivere verifikation i bootfasen (UEFI Secure Boot, Intel BootGuard) og angreb p\u00e5 hypervisorer for at omg\u00e5 integritetskontrolmekanismerne i virtuelle milj\u00f8er.
<\/center> <\/p>\n
Udnyttelse af s\u00e5rbarhederne kan ske fra operativsystemet ved hj\u00e6lp af uverificerede SMI-h\u00e5ndterere (System Management Interrupt) samt p\u00e5 et tidspunkt f\u00f8r operativsystemet k\u00f8rer under de indledende faser af opstarten eller ved genoptagelse fra dvaletilstand. Alle s\u00e5rbarheder skyldes problemer med hukommelsesh\u00e5ndtering og er opdelt i tre kategorier: <\/p>\n
\n
SMM Callout \u2014 udf\u00f8re sin egen kode med SMM-rettigheder ved at omdirigere udf\u00f8relsen af SWSMI-interrupt behandlere til kode uden for SMRAM;\n
Hukommelsesskader, der g\u00f8r det muligt for en angriber at skrive egne data til SMRAM, et s\u00e6rligt isoleret hukommelsesomr\u00e5de, hvor kode udf\u00f8res med SMM-rettigheder.\n
Hukommelsesskader i koden, der udf\u00f8res p\u00e5 DXE-niveau (Driver eXecution Environment). <\/ul>\n
For demonstration of attack organization principles, an example exploit has been published, allowing access to the DXE Runtime UEFI through an attack from the third or zero defense ring to execute custom code. The exploit manipulates a stack overflow (CVE-2021-42059) in the UEFI DXE driver. During the attack, the attacker can place their code in the DXE driver, which remains active after the operating system is restarted, or modify the NVRAM area in the SPI Flash. While executing, the attacker's code can change privileged memory areas, modify EFI Runtime services, and affect the boot process. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"S\u00e5rbarheder](\"\/wp-content\/uploads\/2022\/02\/dcf918bee3be0d2788f82d325cd671c7.jpg\")
<\/center> <\/p>\n