UEFI-firmare haavatavused, mis põhinevad InsydeH2O raamistiku koodijooksutamisel SMM-tasandil

InsydeH2O raamistikus, mida paljud tootjad kasutavad UEFI-firmware'ide loomisel oma seadmetele (kõige levinum UEFI BIOS'i rakendus), on avastatud 23 haavatavust, mis võimaldavad käivitada koodi SMM-i (System Management Mode) tasemel, mis on kõrgem (Ring -2) kui hüperviisori ja nullrakendus, omades piiramatut ligipääsu kogu mälule. Probleem puudutab UEFI-firmware'id, mida kasutavad sellised tootjad nagu Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel ja Bull Atos.

Haavatavuste ärakasutamiseks on vajalik kohalike administreerimisõigustega juurdepääs, mis muudab probleemid teise astme haavatavusteks, mida rakendatakse pärast süsteemis teiste haavatavuste ärakasutamist või sotsiaalsete manipulatsioonide meetodite kasutamist. SMM tasemel juurdepääs võimaldab käivitada koodi tasemel, mis ei ole operatsioonisüsteemi kontrolli all, mida saab kasutada püsivara muudatamiseks ja SPI Flashi peidetud pahavara või rootkitide jätmiseks, mis ei ole operatsioonisüsteemi poolt tuvastatavad, samuti käivitamise kontrollimise (UEFI Secure Boot, Intel BootGuard) keelamiseks ja hüperviisorite ründamiseks, et mööda hiilida virtuaalsete keskkondade terviklikkuse kontrollimehhanismidest.

Haavatavuste ärakasutamine võib toimuda operatsioonisüsteemist verifitseerimata SMI-käsitlejate (System Management Interrupt) abil, samuti enne operatsioonisüsteemi käivitamist algstaadiumis või taastumisel unerežiimist. Kõik haavatavused on põhjustatud mäluhalduse probleemidest ja need jagunevad kolme kategooriasse:

• SMM Callout — SMM õigustega oma koodi käitamine, suunates SWSMI katkestuste käitlejate teostuse koodi, mis asub väljaspool SMRAM-i;
• Mälu kahjustused, mis võimaldavad ründajal kirjutada oma andmed SMRAM-i, eraldatud mälupiirkonda, kus käitatakse koodi SMM õigustega.
• Mälu kahjustus koodis, mis käitab DXE (Driver eXecution Environment) tasemel.

Rünnakute korraldamise põhimõtete demonstreerimiseks on avaldatud näidiseksploitatsioon, mis võimaldab kolmanda või nullkaitse ringi rünnaku kaudu pääseda juurde DXE Runtime UEFI-le ja käivitada oma koodi. Eksploitatsioon manipuleerib UEFI DXE draiveri steki ületäitumise (CVE-2021-42059) kaudu. Rünnaku käigus suudab ründaja oma koodi paigutada DXE-draiverisse, mis säilitab aktiivsuse isegi pärast operatsioonisüsteemi taaskäivitamist, või teha muudatusi NVRAM-i SPI Flash alal. Koodi käitamise protsessis võib ründaja muuta privileege omavaid mälualasid, modifitseerida EFI Runtime teenuseid ja mõjutada buutimisprotsessi.

Allikas: opennet.ru