サーバー システムで一般的に使用されている TianoCore EDK2 オープン プラットフォームに基づく UEFI ファームウェアで 9 件の脆弱性が確認されており、総称して PixieFAIL というコード名が付けられています。ネットワーク ブート (PXE) を構成するために使用されるネットワーク ファームウェア スタックに脆弱性が存在します。最も危険な脆弱性により、認証されていない攻撃者が、IPv6 ネットワーク経由での PXE ブートを許可するシステム上でファームウェア レベルでリモート コードを実行することが可能になります。
それほど深刻ではない問題では、サービス妨害 (ブート ブロック)、情報漏洩、DNS キャッシュ ポイズニング、TCP セッション ハイジャックが発生します。ほとんどの脆弱性はローカル ネットワークから悪用される可能性がありますが、一部の脆弱性は外部ネットワークから攻撃される可能性もあります。一般的な攻撃シナリオは、ローカル ネットワーク上のトラフィックを監視し、PXE 経由のシステムの起動に関連するアクティビティが検出された場合に特別に設計されたパケットを送信することに要約されます。ダウンロードサーバーやDHCPサーバーへのアクセスは必要ありません。攻撃手法を実証するために、プロトタイプのエクスプロイトが公開されています。
TianoCore EDK2 プラットフォームに基づく UEFI ファームウェアは、多くの大企業、クラウド プロバイダー、データ センター、コンピューティング クラスターで使用されています。特に、PXE ブート実装を備えた脆弱な NetworkPkg モジュールは、ARM、Insyde Software (Insyde H20 UEFI BIOS)、American Megatrends (AMI Aptio OpenEdition)、Phoenix Technologies (SecureCore)、Intel、Dell、Microsoft (Project Mu) によって開発されたファームウェアで使用されています。 ）。この脆弱性は、リポジトリに EDK2 パッケージがある ChromeOS プラットフォームにも影響すると考えられていましたが、Google は、このパッケージは Chromebook のファームウェアには使用されておらず、ChromeOS プラットフォームはこの問題の影響を受けないと述べています。
特定された脆弱性:
- CVE-2023-45230 - DHCPv6 クライアント コードのバッファ オーバーフロー。長すぎるサーバー ID (サーバー ID オプション) を渡すことによって悪用されます。
- CVE-2023-45234 - DHCPv6 サーバーの存在を通知するメッセージで渡された DNS サーバー パラメーターを含むオプションを処理すると、バッファ オーバーフローが発生します。
- CVE-2023-45235 - DHCPv6 プロキシ アナウンス メッセージのサーバー ID オプションを処理するときにバッファ オーバーフローが発生します。
- CVE-2023-45229 は、DHCP サーバーをアドバタイズする DHCPv6 メッセージの IA_NA/IA_TA オプションの処理中に発生する整数アンダーフローです。
- CVE-2023-45231 オプション値が切り捨てられた ND リダイレクト (近隣探索) メッセージを処理するときに、バッファー不足のデータ リークが発生します。
- CVE-2023-45232 Destination Options ヘッダー内の不明なオプションを解析すると、無限ループが発生します。
- CVE-2023-45233 パケット ヘッダーの PadN オプションを解析するときに無限ループが発生します。
- CVE-2023-45236 - TCP 接続のウェッジを可能にする予測可能な TCP シーケンス シードの使用。
- CVE-2023-45237 – 予測可能な値を生成する、信頼性の低い疑似乱数ジェネレーターの使用。
この脆弱性は 3 年 2023 月 2 日に CERT/CC に提出され、公開日は 1 月 12 日に予定されていました。ただし、複数のベンダー間で調整してパッチをリリースする必要があるため、リリース日は当初 19 月 2023 日に延期され、その後 16 年 2024 月 XNUMX 日と XNUMX 月 XNUMX 日に延期されましたが、最終的には XNUMX 年 XNUMX 月 XNUMX 日に公開されました。同時にマイクロソフトは情報公開をXNUMX月まで延期するよう要請した。
出所： オープンネット.ru