PixieFAIL — haavatavused UEFI püsivara võrguhoidla kihis, mida kasutatakse PXE käivitamiseks

TianoCore EDK2 avatud platvormi UEFI-patchides, mida kasutatakse tavaliselt serverisüsteemides, on avastatud 9 haavatavust, mille kogukoodnimi on PixieFAIL. Haavatavused esinevad firmware'i võrgustikus, mida kasutatakse võrgus käivitamiseks (PXE). Kõige ohtlikumad haavatavused lubavad autentimata ründajal teostada oma koodi kaugkäivitamist firmware tasemel süsteemides, mis lubavad PXE-käivitamist IPv6 võrgu kaudu.

Vähem ohtlikud probleemid viivad teenuse katkestamiseni (käivitamise blokeerimine), teabe lekeni, DNS-cach'i mürgitamiseni ja TCP-seansside ülekuulamiseni. Suur osa haavatavustest saab ära kasutada kohalikust võrgust, kuid mõned haavatavused võimaldavad ka rünnakut välisest võrgust. Tüüpiline rünnakuskenaar viib jälgimise läbi kohalikus võrgus ning spetsiaalselt koostatud paketide saatmiseni, kui on tuvastatud PXE kaudu süsteemi käivitamisega seotud tegevusi. Juhtmevaba või DHCP-serveri juurde pääsemist ei nõuta. Rünnaku tehnika demonstreerimiseks on avaldatud eksploiteerimise prototüübid. serveri TianoCore EDK2 platvormi UEFI-patchid on kasutusel paljudes suurtes ettevõtetes, pilveteenuse pakkujates, andmekeskustes ja arvutiklastrites. Eelkõige kasutatakse haavatavat moodulit NetworkPkg, milles rakendatakse PXE-käivitust, firmade ARM, Insyde Software (Insyde H20 UEFI BIOS), American Megatrends (AMI Aptio OpenEdition), Phoenix Technologies (SecureCore), Intel, Dell ja Microsoft (Project Mu) arendatud püüdlustes. Eeldati, et haavatavused mõjutavad ka ChromeOS platvormi, mille hoidlas on EDK2 paketid, kuid Google'i ettevõte teatas, et selle paketti ei kasutata Chromebookide firmware'is ja ChromeOS platvorm ei ole probleemile vastuvõtlik.

CVE-2023-45230 — bufervigade ületäitumine DHCPv6 kliendi koodis, mis on taastatav liiga pika identifikaatori edastamise kaudu.

Tuletatud haavatavused:

• (Server ID valik). serverilt CVE-2023-45234 — bufervigade ületäitumine DNS-serveri parameetreid sisaldava valiku töötlemisel, mis edastatakse DHCPv6 serveri olemasolu kuulutavas sõnumis.
• CVE-2023-45235 — bufervigade ületäitumine serveri (Server ID) identifikaatori töötlemise ajal DHCPv6 jaoks mõeldud vaheserveri kuulutuste sõnumites.
• CVE-2023-45229 — täisarvu ületäitumine madalate piiride kaudu (underflow), mis avaldub IA_NA/IA_TA valikute töötlemisel DHCPv6 sõnumites, mis kuulutavad DHCP-serverit.
• CVE-2023-45229 — täisarvude ülevalgus alumise piiri kaudu (underflow), mis ilmneb DHCPv6 sõnumite töötlemisel, mis kuulutavad välja DHCP-serveri IA_NA/IA_TA valikute käitlemisel.
• CVE-2023-45231 — andmelekke, mis tuleneb puhvrivälisest piirkonnast ND Redirect (Neighbor Discovery) sõnumite töötlemisel lühendatud valikute väärtuste tõttu.
• CVE-2023-45232 — lõpmatu silmus tundmatute valikute analüüsimisel sihtkohtade parameetriga (Destination Options) päises.
• CVE-2023-45233 — lõpmatu silmus PadN valiku analüüsimisel paketi päises.
• CVE-2023-45236 — ennustatavate TCP-järjekorranumbrite kasutamine, mis võimaldab TCP-ühendusse sekkuda.
• CVE-2023-45237 — usaldusväärse valejuhuslike numbrite generaatori kasutamine, mis toodab ennustatavaid väärtusi.

Teave haavatavuste kohta saadeti CERT/CC-le 3. augustil 2023, ja avalikustamise kuupäev oli planeeritud 2. novembriks. Siiski, kuna oli vajalik kooskõlastatud paranduste väljaandmine, mis hõlmas paljusid tootjaid, lükati avaldamise kuupäev algselt 1. detsembrile ja seejärel edasi 12. detsembrile ja 19. detsembrile 2023, kuid lõpuks avaldati see 16. jaanuaril 2024. Samuti palus Microsoft teabe avaldamist edasi lükata maini.

Allikas: opennet.ru