{"id":103242,"date":"2022-02-08T09:36:38","date_gmt":"2022-02-08T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-uefi-proshivkah-na-baze-frejmvorka-insydeh2o-pozvolyayushhie-vypolnit-kod-na-urovne-smm"},"modified":"2022-02-08T09:36:38","modified_gmt":"2022-02-08T07:36:38","slug":"uyazvimosti-v-uefi-proshivkah-na-baze-frejmvorka-insydeh2o-pozvolyayushhie-vypolnit-kod-na-urovne-smm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimosti-v-uefi-proshivkah-na-baze-frejmvorka-insydeh2o-pozvolyayushhie-vypolnit-kod-na-urovne-smm","title":{"rendered":"Schwachstellen in UEFI-Firmware, basierend auf dem InsydeH2O-Framework, die die Ausf\u00fchrung von Code auf SMM-Ebene erm\u00f6glichen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im InsydeH2O-Framework, das von vielen Herstellern zur Erstellung von UEFI-Firmware f\u00fcr ihre Ger\u00e4te verwendet wird (die am weitesten verbreitete Implementierung von UEFI BIOS), wurden 23 Schwachstellen entdeckt, die eine Codeausf\u00fchrung im SMM (System Management Mode) erm\u00f6glichen, der eine h\u00f6here Priorit\u00e4t (Ring -2) hat als der Hypervisor-Modus und das Nullschutzring, mit uneingeschr\u00e4nktem Zugriff auf den gesamten Speicher. Das Problem betrifft die UEFI-Firmware, die von Herstellern wie Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel und Bull Atos verwendet wird. <\/p>\n
Um Schwachstellen auszunutzen, ist lokaler Zugriff mit Administratorrechten erforderlich, was diese Probleme zu Second-Level-Schwachstellen macht, die nach der Ausnutzung anderer Schwachstellen im System oder durch Verwendung von Social Engineering-Methoden angewendet werden. Zugriff auf SMM-Ebene erm\u00f6glicht das Ausf\u00fchren von Code auf einer Ebene, die nicht von dem Betriebssystem kontrolliert wird, was f\u00fcr das Modifizieren von Firmware und das Hinterlassen von verstecktem Malware-Code oder Rootkits im SPI Flash verwendet werden kann, die von dem Betriebssystem nicht erkannt werden, sowie zum Deaktivieren der \u00dcberpr\u00fcfung w\u00e4hrend des Bootvorgangs (UEFI Secure Boot, Intel BootGuard) und Angriffe auf Hypervisoren, um die Integrit\u00e4tspr\u00fcfmechanismen virtueller Umgebungen zu umgehen.
<\/center> <\/p>\n
Die Ausnutzung von Schwachstellen kann aus dem Betriebssystem mithilfe nicht verifiziertem SMI-Handler (System Management Interrupt) erfolgen, sowie in der Phase vor der Ausf\u00fchrung des Betriebssystems w\u00e4hrend der fr\u00fchen Boot-Phase oder beim Aufwachen aus dem Schlafmodus. Alle Schwachstellen werden durch Probleme im Umgang mit dem Speicher verursacht und in drei Kategorien unterteilt: <\/p>\n
\n
SMM Callout — Ausf\u00fchren von eigenem Code mit SMM-Rechten durch Umleitung der Interrupt-Handler-Ausf\u00fchrung von SWSMI auf Code au\u00dferhalb von SMRAM;\n
Speichersch\u00e4den, die es einem Angreifer erm\u00f6glichen, seine Daten in SMRAM, einen speziellen isolierten Speicherbereich, der Code mit SMM-Rechten ausf\u00fchrt, zu schreiben.\n
Speichersch\u00e4den im Code, der auf DXE (Driver eXecution Environment) Ebene ausgef\u00fchrt wird. <\/ul>\n
Zur Demonstration der Angriffsprinzipien wurde ein Exploit-Beispiel ver\u00f6ffentlicht, das es erm\u00f6glicht, durch einen Angriff aus der dritten oder nullten Schutzebene auf DXE Runtime UEFI zuzugreifen und eigenen Code auszuf\u00fchren. Der Exploit manipuliert einen Stack-\u00dcberlauf (CVE-2021-42059) im UEFI DXE-Treiber. W\u00e4hrend des Angriffs kann der Angreifer seinen Code im DXE-Treiber platzieren, der nach einem Neustart des Betriebssystems aktiv bleibt, oder \u00c4nderungen im NVRAM-Bereich im SPI Flash vornehmen. Im Verlauf der Ausf\u00fchrung kann der Code des Angreifers \u00c4nderungen in privilegierten Speicherbereichen vornehmen, EFI Runtime-Dienste modifizieren und den Bootprozess beeinflussen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Schwachstellen](\"\/wp-content\/uploads\/2022\/02\/dcf918bee3be0d2788f82d325cd671c7.jpg\")
<\/center> <\/p>\n