La società Intel ha confermato l'autenticità dei codici sorgente dei firmware UEFI e BIOS pubblicati da un anonimo su GitHub. In totale, sono stati resi noti 5.8 GB di codice, utilità, documentazione, blob e impostazioni relativi alla creazione di firmware per sistemi con processori basati sull'architettura Alder Lake, rilasciata a novembre 2021. L'ultima modifica al codice pubblicato risale al 30 settembre 2022.
Secondo Intel, la fuga di notizie è avvenuta per colpa di un terzo, e non a causa di una compromissione dell'infrastruttura aziendale. Si segnala anche che il codice reso pubblico include il programma Project Circuit Breaker, che prevede premi compresi tra 500 e 100000 dollari per la segnalazione di problemi di sicurezza nei firmware e nei prodotti Intel (si sottintende che i ricercatori possono ricevere compensi per i reportage di vulnerabilità riscontrate utilizzando il contenuto della fuga).
Non è specificato chi sia stato l'autore della fuga di dati (l'accesso agli strumenti per la creazione dei firmware era disponibile ai produttori OEM e alle aziende che sviluppano firmware su richiesta). Durante l'analisi del contenuto dell'archivio pubblicato sono stati identificati alcuni test e servizi specifici per i prodotti Lenovo ('Lenovo Feature Tag Test Information', 'Lenovo String Service', 'Lenovo Secure Suite', 'Lenovo Cloud Service'), ma la responsabilità di Lenovo nella fuga di dati non è ancora confermata. Nell'archivio sono state inoltre trovate utilità e librerie della Insyde Software, che sviluppa firmware per conto dei produttori OEM, e nel log git è presente l'email di un dipendente della LC Future Center, che produce laptop per vari produttori OEM. Entrambe le aziende collaborano con Lenovo.
Secondo Intel, il codice reso pubblico non contiene dati riservati o componenti che possano facilitare la scoperta di nuove vulnerabilità. Tuttavia, Mark Ermolaev, esperto nella sicurezza delle piattaforme Intel, ha identificato nell'archivio pubblicato informazioni riguardanti registri MSR (Model Specific Registers, utilizzati anche per la gestione del microcodice, il tracciamento e il debug), i cui dettagli sono sottoposti a un accordo di non divulgazione. Inoltre, nell'archivio è stato trovato una chiave privata utilizzata per la firma digitale dei firmware, che potenzialmente potrebbe essere usata per eludere la protezione Intel Boot Guard (non è confermata l'efficacia della chiave, non si esclude che si tratti di una chiave di test).
Fonte: opennet.ru
