L'azienda Intel ha confermato l'autenticità dei codici sorgente dei firmware UEFI e BIOS pubblicati da un anonimo su GitHub. È stato pubblicato un totale di 5,8 GB di codice, utilità, documentazione, blob e configurazioni relativi alla creazione di firmware per sistemi con processori basati sull'architettura Alder Lake, rilasciata nel novembre 2021. L'ultima modifica nel codice pubblicato è datata 30 settembre 2022.
Secondo quanto dichiarato da Intel, la fuga di dati è avvenuta per colpa di terzi, e non a causa di una compromissione dell'infrastruttura aziendale. Si sottolinea anche che il codice diventato pubblico riguarda il programma Project Circuit Breaker, che prevede premi da 500 a 100.000 dollari per l'identificazione di problemi di sicurezza nei firmware e nei prodotti Intel (si intende che i ricercatori possono ricevere incentivi per la segnalazione delle vulnerabilità scoperte utilizzando il contenuto della fuga).
Non viene specificato chi sia stato la fonte della fuga (i produttori OEM di hardware e le aziende che sviluppano firmware su misura avevano accesso agli strumenti per la creazione di firmware). Durante l'analisi del contenuto dell'archivio pubblicato, sono stati identificati alcuni test e servizi specifici per i prodotti dell'azienda Lenovo (‘Lenovo Feature Tag Test Information’, ‘Lenovo String Service’, ‘Lenovo Secure Suite’, ‘Lenovo Cloud Service’), ma l'associazione dell'azienda Lenovo alla fuga non è ancora confermata. Nell'archivio sono state inoltre trovate utilità e librerie dell'azienda Insyde Software, che si occupa dello sviluppo di firmware per conto dei produttori OEM, e nel log di git è presente l’email di uno dei dipendenti dell'azienda LC Future Center, che produce laptop per diversi produttori OEM. Entrambe le aziende collaborano con Lenovo.
Secondo Intel, il codice reso pubblico non contiene dati riservati o componenti che possano facilitare la scoperta di nuove vulnerabilità. Tuttavia, Mark Ermolov, specializzato nello studio della sicurezza delle piattaforme Intel, ha scoperto nell'archivio pubblicato informazioni su registri MSR (Model Specific Registers, utilizzati anche per la gestione del microcodice, il tracciamento e il debugging), i cui dettagli rientrano in un accordo di riservatezza. Inoltre, nell'archivio è stato trovato una chiave privata, utilizzata per la firma digitale dei firmware, che potrebbe potenzialmente essere utilizzata per eludere la protezione Intel Boot Guard (l'efficacia della chiave non è confermata e non si esclude che si tratti di una chiave di test).
Fonte: opennet.ru
