A Binarly kutatói sorozat sebezhetőséget az UEFI firmware-k különböző gyártóinál használt képkódolásban azonosították. A sebezhetőségek lehetővé teszik, hogy a támadó kódot futtasson a rendszer indításakor, ha kifejezetten formázott képet helyez el az ESP (EFI System Partition) részben vagy az aláírás nélküli firmware-frissítések egyes részébe. A javasolt támadási módszer megkerülheti az UEFI Secure Boot és a hardveres védelmi mechanizmusok, például az Intel Boot Guard, az AMD Hardware-Validated Boot és az ARM TrustZone Secure Boot rendszerét.
A probléma abból adódik, hogy a firmware-ek lehetővé teszik a felhasználó által megadott logók megjelenítését, és ehhez a firmware szintjén, privilegizált jogosultság nélkül végrehajtott képkódoló könyvtárakat használnak. Megjegyezték, hogy a modern firmware-ek tartalmaznak kódot, amely a BMP, GIF, JPEG, PCX és TGA formátumok elemzésére szolgál, amelyek sebezhetőségeket tartalmaznak, amelyek puffer túlcsordulást okozhatnak hibás adatok elemzésekor.
A sebezhetőségek különböző hardvergyártók (Intel, Acer, Lenovo) firmware-eiben, valamint firmware-gyártók (AMI, Insyde, Phoenix) által forgalmazott változataiban találhatók. Mivel a problémás kód referenciaként szolgáló, független firmware-szolgáltatók által nyújtott alkatrészekben jelen van, és ezeket a különböző hardvergyártók a saját firmware-jük alapjaként használják, a sebezhetőségek nem specifikusak a konkrét szolgáltatókra, és az egész ökoszisztémát érintik.
A felfedezett sebezhetőségekről a Black Hat Europe 2023 konferencián, december 6-án fognak bővebb tájékoztatást adni. A konferencián egy exploitot is bemutatnak, amely lehetővé teszi a firmware jogosultságokkal rendelkező kód futtatását x86 és ARM architektúrájú rendszereken. Eredetileg a Lenovo firmware-einek elemzése során fedezték fel a sebezhetőségeket, amelyek az Insyde, AMI és Phoenix platformjain alapulnak, de a potenciálisan sebezhető firmware-ek között említik az Intel és Acer változatait is.
Forrás: opennet.ru
