Objavljivanje Coreboot 4.17

Objavljen je izdanak projekta CoreBoot 4.17, koji se razvija kao slobodna alternativa proprietarnim firmware-ima i BIOS-u. Kod projekta se distribuira pod GPLv2 licencom. U stvaranju nove verzije sudjelovalo je 150 programera koji su pripremili više od 1300 promjena.

Glavne promjene:

• Ispravljena je ranjivost (CVE-2022-29264), koja se manifestira u izdanjima CoreBoot od 4.13 do 4.16 i omogućava izvršavanje koda na razini SMM (System Management Mode) na sustavima s AP (Application Processor), koji ima viši prioritet (Ring -2) od hipervizorskog načina i nultog zaštitnog prstena, te neograničen pristup svemu u memoriji. Problem je uzrokovan neispravnim pozivom SMI handlera u modulu smm_module_loader.
• Dodana je podrška za 12 matičnih ploča, od kojih se 5 koristi u uređajima s Chrome OS-om ili na poslužiteljima Google. Među onima koje nisu povezane s Googlom su:
  • Clevo L140MU / L141MU / L142MU
  • Dell Precision T1650
  • HP Z220 CMT radna stanica
  • Star Labs LabTop Mk III (i7-8550u), LabTop Mk IV (i3-10110U, i7-10710U), Lite Mk III (N5000) i Lite Mk IV (N5030).
• Obustavljena je podrška za matične ploče Google Deltan i Deltaur.
• Dodana je nova payload coreDOOM, koja omogućava pokretanje igre DOOM iz Coreboot. U projektu je korišten kod doomgeneric, portiran na libpayload. Za prikaz koristi se linearni framebuffer Coreboot, a WAD datoteke s igračkim resursima učitavaju se iz CBFS-a.
• Ažurirane su payload komponente SeaBIOS 1.16.0 i iPXE 2022.1.
• Dodana je SeaGRUB opcija (GRUB2 preko SeaBIOS-a), koja omogućava korištenje callback poziva SeaBIOS-a unutar GRUB2, na primjer, za pristup hardveru na koji iz payload GRUB2 nije moguće pristupiti.
• Dodana je zaštita od SinkHole napada, koja omogućava izvršavanje koda na razini SMM (System Management Mode).
• Implementirana je ugrađena mogućnost generiranja statičnih tablica stranica memorije iz datoteka assemblera, bez potrebe za pozivom vanjskih alata.
• Omogućeno je zapisivanje informacija za debagiranje u konzolu CBMEMC iz SMI handlera prilikom korištenja DEBUG_SMI.
• Promijenjen je sustav handlera inicijalizacije CBMEM; umjesto handlera *_CBMEM_INIT_HOOK vezanih uz faze, predložena su dva handlera CBMEM_CREATION_HOOK (koristi se u ranoj fazi koja stvara cbmem) i CBMEM_READY_HOOK (koristi se u bilo kojoj fazi kada je cbmem već stvoren).
• Dodana je podrška za PSB (Platform Secure Boot), koju aktivira procesor PSP (Platform Security Processor) za verifikaciju integriteta BIOS-a putem digitalnog potpisa.
• Dodana je vlastita implementacija handlera debug podataka, koji se prenose iz FSP (FSP Debug Handler).
• Dodane su specifične TIS funkcije (TPM Interface Specification) za čitanje i pisanje direktno iz registara TPM (Trusted Platform Module) — tis_vendor_read() i tis_vendor_write().
• Dodana je podrška za presretanje dereferenciranja nultih pokazivača putem debug registara.
• Implementirano je prepoznavanje i2c uređaja, što olakšava rad s pločama opremljenim touchpad-ima ili ekranima osjetljivim na dodir različitih proizvođača.
• Dodana je mogućnost spremanja podataka o vremenu u formatu pogodnom za generiranje FlameGraph grafikona, koji jasno prikazuju koliko se vremena troši na različite faze pokretanja.
• U cbmem alat dodana je opcija za dodavanje 'timestamp' vremena iz korisničkog prostora u cbmem tablicu, što omogućava prikazivanje događaja na fazama nakon CoreBoot-a.

Dodatno, može se primijetiti objava otvorenog pisma fonda OSFF (Open-Source Firmware Foundation) kompaniji Intel, u kojem se predlaže da se skupovi podrške firmware-a (FSP, Firmware Support Package) učine modularnijima i da se počne objavljivati dokumentacija vezana uz inicijalizaciju Intel SoC-a. Nedostatak FSP koda značajno otežava kreiranje otvorenih firmware-a i ometa napredak projekata Coreboot, U-Boot i LinuxBoot na Intel opremi. Ranija slična inicijativa bila je uspješna i kompanija Intel je otvorila kod traženih firmware-a PSE (Programmable Services Engine).

Izvor: opennet.ru