Felkelt adatok a (CVE-2021-33164) UEFI firmware-keresésekről, amelyek lehetővé teszik a kód végrehajtását az SMM (System Management Mode) szintjén, amely prioritásosabb, mint a hypervisor mód és a nulladik védelmi gyűrű, és korlátlan hozzáférést biztosít a teljes rendszer memóriájához. A RingHopper kódnéven elhíresült sérülékenység a DMA (Direct Memory Access) időalapú támadásainak lehetőségéhez kapcsolódik, amelyek sértik az SMM szinten futó kód memóriáját. A sérülékenység megerősítést nyert az Intel, Dell és Insyde Software firmware-ében (állítólag 8 gyártót érint a probléma, de a másik 5 még nem nyilvános). Az AMD, Phoenix és Toshiba firmware-ek nem érintettek a problémában.
A sérülékenységek kihasználása végrehajtható az operációs rendszeren belül, sérülékeny SMI-kézléseket (System Management Interrupt) alkalmazva, amelyekhez adminisztrátori jogosultságok szükségesek. A támadás akkor is végrehajtható, ha fizikai hozzáférés áll rendelkezésre a rendszer indításának korai szakaszában, még az operációs rendszer inicializálása előtt. A probléma blokkolása érdekében a Linux felhasználóknak javasolt frissíteni a firmware-t az LVFS (Linux Vendor Firmware Service) szolgáltatáson keresztül, a fwupdmgr (fwupdmgr get-updates; fwupdmgr update) segédprogramot használva a fwupd csomagból.
A támadáshoz szükséges adminisztrátori jogosultság korlátozza a probléma veszélyességét, de nem akadályozza meg annak másodlagos sérülékenységként való kihasználását, hogy megőrizzék a jelenlétüket más sérülékenységek kihasználása után, vagy social engineering módszerek alkalmazásával. Az SMM (Ring -2) szintű hozzáférés lehetővé teszi olyan kód végrehajtását, amely felett az operációs rendszer nincs ellenőrzési jogkörrel, és ez felhasználható firmware-ek módosítására, rejtett rosszindulatú kód vagy rootkit SPI Flash-be történő elhelyezésére, amelyeket az operációs rendszer nem észlel, valamint a betöltés korai szakaszában (UEFI Secure Boot, Intel BootGuard) a validálás kikapcsolására és hypervisor támadásokra a virtuális környezetek integritásának ellenőrzési mechanizmusainak megkerüléséhez.
A probléma a SMI (System Management Interrupt) kezelőjében lévő versenyállapotból ered, amely a hozzáférés ellenőrzése és az SMRAM elérésének során lép fel. A megfelelő időpont meghatározására az ellenőrzés és az ellenőrzés eredményének felhasználása között külső csatornákon keresztül végzett DMA-elemzés használható. Ennek eredményeként, az SMRAM-hoz való DMA-hozzáférés aszinkron jellege miatt a támadó meghatározhatja a megfelelő időpontot, és újraírhatja az SMRAM tartalmát, megkerülve az SMI kezelő API-t. Az Intel-VT és Intel VT-d mechanizmusokat támogató processzorok védelmet nyújtanak a DMA-támadások ellen, amely az IOMMU (Input-Output Memory Management Unit) alkalmazásán alapul, de ez a védelem hatékonyan blokkolja a jól előkészített támadói eszközökkel végrehajtott hardveres DMA-támadásokat, és nem véd meg az SMI kezelőkön keresztül végrehajtott támadásoktól.
Forrás: opennet.ru
