È stata rivelata un'informazione su una vulnerabilità (CVE-2021-33164) nei firmware UEFI, che consente l'esecuzione di codice a livello SMM (System Management Mode), un livello di priorità superiore a quello del hypervisor e del ring zero, offrendo accesso illimitato a tutta la memoria di sistema. La vulnerabilità, denominata RingHopper, è collegata alla possibilità di eseguire un attacco temporale tramite DMA (Direct Memory Access) per compromettere la memoria del codice in esecuzione a livello SMM. È stata confermata la presenza della vulnerabilità nei firmware di Intel, Dell e Insyde Software (si sostiene che il problema coinvolga 8 produttori, ma gli altri 5 non sono ancora stati rivelati). I firmware AMD, Phoenix e Toshiba non sono affetti dal problema.
L'utilizzo delle vulnerabilità può avvenire dal sistema operativo, utilizzando gestori SMI vulnerabili (System Management Interrupt), ai quali è necessario avere diritti di amministratore per accedere. L'attacco può essere effettuato anche in presenza di accesso fisico nella fase iniziale di avvio, prima dell'inizializzazione del sistema operativo. Per mitigare il problema, si raccomanda agli utenti Linux di aggiornare il firmware tramite il servizio LVFS (Linux Vendor Firmware Service), utilizzando l'utilità fwupdmgr (fwupdmgr get-updates; fwupdmgr update) del pacchetto fwupd.
La necessità di avere diritti di amministratore per eseguire un attacco limita il rischio del problema, ma non impedisce il suo utilizzo come vulnerabilità di secondo livello, per mantenere la propria presenza dopo aver sfruttato altre vulnerabilità nel sistema o aver applicato metodi di ingegneria sociale. L'accesso al SMM (Ring -2) consente di eseguire codice a un livello non controllabile dal sistema operativo, il che può essere utilizzato per modificare i firmware e inserire codici dannosi o rootkit nello SPI Flash, che non possono essere rilevati dal sistema operativo, così come per disabilitare la verifica durante il caricamento (UEFI Secure Boot, Intel BootGuard) e per attacchi ai hypervisor per aggirare i meccanismi di verifica dell'integrità degli ambienti virtuali.
Il problema è causato da una condizione di competizione nel gestore SMI (System Management Interrupt), che si verifica nel momento tra il controllo dell'accesso e l'accesso a SMRAM. Per determinare il momento opportuno tra la verifica dello stato e l'utilizzo del risultato della verifica, può essere utilizzata un'analisi attraverso canali esterni tramite DMA. Di conseguenza, a causa della natura asincrona dell'accesso a SMRAM attraverso DMA, un attaccante può determinare il momento necessario e sovrascrivere il contenuto di SMRAM utilizzando DMA per aggirare le API del gestore SMI. I processori con supporto per le tecnologie Intel-VT e Intel VT-d includono protezione contro attacchi DMA, basata sull'uso dell'IOMMU (Input-Output Memory Management Unit), ma questa protezione è efficace per bloccare attacchi hardware DMA condotti da dispositivi preparati dall'attaccante, e non protegge da attacchi tramite gestori SMI.
Fonte: opennet.ru
