LogoFAIL — Angriff auf UEFI-Firmware durch die Einfügung bösartiger Logos

Forscher von Binarly haben eine Reihe von Sicherheitsanfälligkeiten im Code zur Bildverarbeitung entdeckt, der in UEFI-Firmware von verschiedenen Herstellern verwendet wird. Diese Anfälligkeiten ermöglichen es, eigenen Code während des Bootvorgangs auszuführen, indem ein speziell gestaltetes Bild im ESP-Bereich (EFI System Partition) oder in einem nicht signierten Teil des Firmware-Updates platziert wird. Die vorgeschlagene Angriffsmethode kann verwendet werden, um den Mechanismus der verifizierten UEFI Secure Boot und Hardware-Schutzmechanismen wie Intel Boot Guard, AMD Hardware-Validated Boot und ARM TrustZone Secure Boot zu umgehen.

Das Problem wird dadurch verursacht, dass Firmwares es ermöglichen, vom Benutzer angegebene Logos anzuzeigen und dafür Bildverarbeitungsbibliotheken verwenden, die auf Firmware-Ebene ohne Berechtigungswechsel ausgeführt werden. Es wird festgestellt, dass moderne Firmwares Code zur Verarbeitung von BMP-, GIF-, JPEG-, PCX- und TGA-Formaten enthalten, in denen Anfälligkeiten vorhanden sind, die während der Verarbeitung fehlerhafter Daten zu Pufferüberläufen führen.

Die Anfälligkeiten wurden in Firmwares verschiedener Hardwarelieferanten (Intel, Acer, Lenovo) und Firmware-Hersteller (AMI, Insyde, Phoenix) gefunden. Da der problematische Code in den Referenzkomponenten enthalten ist, die von unabhängigen Firmware-Anbietern bereitgestellt werden und als Grundlage für die Erstellung eigener Firmwares von verschiedenen Hardwareherstellern verwendet werden, sind die Anfälligkeiten nicht spezifisch für bestimmte Anbieter und betreffen das gesamte Ökosystem.

Details zu den gefundenen Anfälligkeiten sollen am 6. Dezember auf der Black Hat Europe 2023-Konferenz bekannt gegeben werden. In der Präsentation auf der Konferenz wird auch ein Exploit demonstriert, der es ermöglicht, eigenen Code mit Firmware-Rechten auf Systemen mit x86- und ARM-Architektur auszuführen. Ursprünglich wurden die Anfälligkeiten bei der Analyse von Lenovo-Firmwares auf Basis von Plattformen von Insyde, AMI und Phoenix identifiziert, aber auch Intel- und Acer-Firmwares werden als potenziell anfällig erwähnt.

Quelle: opennet.ru