InsydeH2O շրջանակում, որն օգտագործվում է շատ արտադրողների կողմից՝ իրենց սարքավորումների համար UEFI որոնվածը ստեղծելու համար (UEFI BIOS-ի ամենատարածված իրականացումը), հայտնաբերվել են 23 խոցելիություններ, որոնք թույլ են տալիս կոդը գործարկել SMM (System Management Mode) մակարդակում, որն ունի ավելի բարձր առաջնահերթություն (Ring -2), քան հիպերվիզորի ռեժիմը և պաշտպանության զրոյական օղակը և ունենալով անսահմանափակ մուտք դեպի ամբողջ հիշողություն: Խնդիրն ազդում է UEFI որոնվածի վրա, որն օգտագործվում է այնպիսի արտադրողների կողմից, ինչպիսիք են Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel և Bull Atos:
Խոցելիության շահագործումը պահանջում է տեղական մուտք՝ ադմինիստրատորի իրավունքներով, ինչը հանրաճանաչ է դարձնում հարցերը որպես երկրորդ կարգի խոցելիություններ, որոնք օգտագործվում են համակարգի այլ խոցելիության կամ սոցիալական ճարտարագիտության մեթոդների կիրառումից հետո: Մուտքը SMM մակարդակում թույլ է տալիս գործարկել կոդը օպերացիոն համակարգի կողմից չվերահսկվող մակարդակով, որը կարող է օգտագործվել՝ փոփոխելու որոնվածը և SPI Flash-ում թողնել թաքնված վնասակար կոդ կամ rootkits, որոնք չեն հայտնաբերվում օպերացիոն համակարգի կողմից, ինչպես նաև: անջատել ստուգումը բեռնման փուլում (UEFI Secure Boot, Intel BootGuard) և հարձակումներ հիպերվիզորների վրա՝ վիրտուալ միջավայրերի ամբողջականությունը ստուգելու մեխանիզմները շրջանցելու համար:
Խոցելիության շահագործումը կարող է իրականացվել օպերացիոն համակարգից՝ օգտագործելով չստուգված SMI (System Management Interrupt) կարգավորիչներ, ինչպես նաև օպերացիոն համակարգի նախնական կատարման փուլում՝ բեռնման սկզբնական փուլերում կամ քնի ռեժիմից վերադառնալիս: Բոլոր խոցելիությունները պայմանավորված են հիշողության հետ կապված խնդիրներով և բաժանվում են երեք կատեգորիայի.
- SMM Callout - ձեր կոդի կատարումը SMM իրավունքներով՝ SWSMI ընդհատումների մշակողների կատարումը վերահղելով SMRAM-ից դուրս կոդի վրա;
- Հիշողության խախտում, որը թույլ է տալիս հարձակվողին գրել իրենց տվյալները SMRAM-ում՝ հատուկ մեկուսացված հիշողության տարածքում, որտեղ կոդը կատարվում է SMM իրավունքներով:
- DXE (Driver Execution Environment) մակարդակով աշխատող կոդի հիշողության խախտում:
Հարձակման կազմակերպման սկզբունքները ցուցադրելու համար հրապարակվել է շահագործման օրինակ, որը թույլ է տալիս պաշտպանության երրորդ կամ զրոյական օղակից հարձակման միջոցով մուտք գործել DXE Runtime UEFI և գործարկել ձեր կոդը: Exploit-ը մանիպուլյացիա է անում UEFI DXE դրայվերում կուտակիչի գերհոսքը (CVE-2021-42059): Հարձակման ժամանակ հարձակվողը կարող է տեղադրել իր կոդը DXE դրայվերում, որը մնում է ակտիվ օպերացիոն համակարգի վերագործարկումից հետո, կամ փոփոխություններ կատարել SPI Flash-ի NVRAM տարածքում: Կատարման ընթացքում հարձակվողի կոդը կարող է փոփոխություններ կատարել արտոնյալ հիշողության տարածքներում, փոփոխել EFI Runtime ծառայությունները և ազդել բեռնման գործընթացի վրա:
Source: opennet.ru