Ранливост во фирмверот UEFI базиран на рамката InsydeH2O, што овозможува извршување на код на ниво на SMM

Во рамката InsydeH2O, што ја користат многу производители за креирање фирмвер на UEFI за нивната опрема (најчестата имплементација на UEFI BIOS-от), идентификувани се 23 пропусти кои овозможуваат извршување на кодот на ниво SMM (режим на управување со системот), кој има повисок приоритет (Ring -2) од режимот на хипервизор и нулти прстен на заштита и има неограничен пристап до целата меморија. Проблемот влијае на фирмверот на UEFI што го користат производителите како Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel и Bull Atos.

Искористувањето на ранливостите бара локален пристап со администраторски права, што ги прави проблемите популарни како ранливости од втор ред, кои се користат по искористување на други ранливости во системот или употреба на методи на социјално инженерство. Пристапот на ниво на SMM ви овозможува да извршите код на ниво кое не е контролирано од оперативниот систем, што може да се користи за менување на фирмверот и оставање скриени малициозни кодови или rootkits во SPI Flash кои не се откриени од оперативниот систем, како и да се оневозможи верификацијата во фазата на подигање (UEFI Secure Boot , Intel BootGuard) и напади врз хипервизорите за да се заобиколат механизмите за проверка на интегритетот на виртуелните средини.

Искористувањето на пропустите може да се изврши од оперативниот систем со помош на непроверени ракувачи SMI (Системски менаџмент прекин), како и во фазата пред извршување на оперативниот систем за време на почетните фази на подигање или враќање од режим на мирување. Сите пропусти се предизвикани од проблеми со меморијата и се поделени во три категории:

• SMM Callout - извршување на вашиот код со SMM права со пренасочување на извршувањето на ракувачите со прекини SWSMI во код надвор од SMRAM;
• Оштетување на меморијата што му овозможува на напаѓачот да ги запише своите податоци во SMRAM, специјална изолирана мемориска област во која кодот се извршува со SMM права.
• Оштетување на меморијата во кодот што работи на ниво DXE (Околина за извршување на возачот).

За да се демонстрираат принципите на организирање напад, објавен е пример на експлоатација, што овозможува, преку напад од третиот или нулта прстен на заштита, да се добие пристап до UEFI-то на DXE Runtime и да се изврши вашиот код. Искористувањето манипулира со прелевање на стек (CVE-2021-42059) во двигателот UEFI DXE. За време на нападот, напаѓачот може да го постави својот код во драјверот DXE, кој останува активен по рестартирањето на оперативниот систем или да направи промени во областа NVRAM на SPI Flash. За време на извршувањето, кодот на напаѓачот може да направи промени во привилегираните мемориски области, да ги менува услугите за траење EFI и да влијае на процесот на подигање.

Извор: opennet.ru