UEFI-firmware'i haavatavused, mis põhinevad InsydeH2O raamdokumendil, võimaldavad täita koodi SMM-tasandil

InsydeH2O raamistikus, mida paljud tootjad kasutavad oma seadmetele UEFI-firmware'i loomiseks (kõige levinum UEFI BIOS rakendus), on tuvastatud 23 haavatavust, mis võimaldavad koodi täitmist SMM (System Management Mode) tasemel, mis on prioriteedilt (Ring -2) kõrgem kui hüperviisori mod, millel on piiramatud õigused kogu mällu. Probleem puudutab UEFI-firmware'i, mida kasutavad sellised tootjad nagu Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel ja Bull Atos.

Haavatavuste ärakasutamiseks on vajalik kohaliku administraatoriõigustega juurdepääs, mis muudab probleemid nõudlikuks teise taseme haavatavustena, mida kasutatakse pärast süsteemi teiste haavatavuste ärakasutamist või sotsiaalsete insenerimeetodite kasutamist. SMM taseme juurdepääs võimaldab koodi täitmist tasemel, mis ei allu operatsioonisüsteemile, mida võib kasutada firmware'ide modifitseerimiseks ja SPI Flashis varjatud pahavara või rootkitide jätmiseks, mida pole võimalik operatsioonisüsteemi kaudu tuvastada, samuti käivitamise verifikatsiooni (UEFI Secure Boot, Intel BootGuard) kehtestamise keelamiseks ja hüperviisorite rünnakuteks virtuaalsete keskkondade terviklikkuse kontrollimehhanismide ületamiseks.

Haavatavuste ärakasutamine võib toimuda operatsioonisüsteemist, kasutades kinnitamata SMI-processorite (System Management Interrupt), samuti operatsioonisüsteemi käivitamisest enne või unerežiimilt taastumist. Kõik haavatavused on põhjustatud mäluhalduse probleemidest ja jagunevad kolmeks kategooriaks:

• SMM Callout — oma koodi täitmine SMM õigustega SWSMI katse käitlejate suuna ümber suunamise kaudu SMRAM'i välistesse koodidesse;
• Mälu kahjustused, mis võimaldavad ründajal oma andmeid SMRAM'i, spetsiaalsesse isoleeritud mälu piirkonda, kuhu koodi täitmine toimub SMM õigustes.
• Mälu kahjustamine DXE (Driver eXecution Environment) tasemel täidetavas koodis.

Rünnakute korraldamise põhimõtete demonstreerimiseks on avaldatud näide eksploitist, mis võimaldab läbi kolmanda või nullkaitserõnga rünnaku pääseda DXE Runtime UEFI ja käivitada oma koodi. Eksploit manipuleerib piiroperatsiooni ülevooluga (CVE-2021-42059) UEFI DXE draiveris. Rünnaku käigus võib ründaja paigutada oma koodi DXE-draiverisse, mis säilitab tegevuse pärast operatsioonisüsteemi taaskäivitamist, või teha muudatusi NVRAM-i SPI Flash ala. Käitamise käigus saab ründaja muuta privileeritud mälualasid, modifitseerida EFI Runtime teenuseid ja mõjutada käivitamisprotsessi.

Allikas: opennet.ru