Release van Coreboot 4.17

De release van project CoreBoot 4.17 is gepubliceerd, dat een vrije alternatieve oplossing ontwikkelt voor propriëtaire firmware en BIOS. De code van het project wordt verspreid onder de GPLv2-licentie. Aan de nieuwe versie hebben 150 ontwikkelaars bijgedragen, die meer dan 1300 wijzigingen hebben voorbereid.

Belangrijkste wijzigingen:

• Een kwetsbaarheid (CVE-2022-29264) is verholpen, die zich voordeed in CoreBoot-releases van 4.13 tot 4.16 en die op systemen met een AP (Application Processor) het mogelijk maakte om code op SMM (System Management Mode) niveau uit te voeren, dat een hogere prioriteit heeft (Ring -2) dan de hypervisor modus en het nulring-beschermingsniveau, met onbeperkte toegang tot het volledige geheugen. Het probleem werd veroorzaakt door een onjuiste aanroep van de SMI-handler in de module smm_module_loader.
• Ondersteuning voor 12 moederborden is toegevoegd, waarvan 5 wordt gebruikt op apparaten met Chrome OS of op servers Google. Onder de niet aan Google gerelateerde borden:
  • Clevo L140MU / L141MU / L142MU
  • Dell Precision T1650
  • HP Z220 CMT Workstation
  • Star Labs LabTop Mk III (i7-8550u), LabTop Mk IV (i3-10110U, i7-10710U), Lite Mk III (N5000) en Lite Mk IV (N5030).
• De ondersteuning voor de moederborden Google Deltan en Deltaur is stopgezet.
• Een nieuwe payload coreDOOM is toegevoegd, waarmee de game DOOM vanuit Coreboot kan worden gestart. In het project is gebruikgemaakt van de doomgeneric-code, die is geporteerd naar libpayload. Voor de uitvoer wordt de lineaire framebuffer van Coreboot gebruikt en de WAD-bestanden met game-resources worden uit CBFS geladen.
• De payload-componenten SeaBIOS 1.16.0 en iPXE 2022.1 zijn bijgewerkt.
• De SeaGRUB-modus (GRUB2 bovenop SeaBIOS) is toegevoegd, waarmee GRUB2 gebruik kan maken van de callback-oproepen die door SeaBIOS worden aangeboden, bijvoorbeeld voor toegang tot hardware waartoe geen toegang is vanuit de payload GRUB2.
• Beveiliging tegen de SinkHole-aanval is toegevoegd, waarmee code op SMM (System Management Mode) niveau kan worden uitgevoerd.
• Een ingebouwde mogelijkheid voor het genereren van statische geheugenpaginatabellen uit assemblerbestanden is geïmplementeerd, zonder dat externe tools hoeven te worden aangeroepen.
• Het schrijven van debug-informatie naar de CBMEMC-console vanuit SMI-handlers is toegestaan bij gebruik van DEBUG_SMI.
• Het systeem van CBMEM-initialisatiehandlers is gewijzigd; in plaats van de aan fasen gekoppelde handlers *_CBMEM_INIT_HOOK zijn er twee handlers voorgesteld: CBMEM_CREATION_HOOK (gebruikt in de beginfase die cbmem aanmaakt) en CBMEM_READY_HOOK (gebruikt in alle fasen waarin cbmem al is aangemaakt).
• Ondersteuning voor PSB (Platform Secure Boot) is toegevoegd, actieve bescherming van de PSP (Platform Security Processor) voor de verificatie van de integriteit van BIOS door middel van een digitale handtekening.
• Een eigen implementatie van de debugdata-handler is toegevoegd, die gegevens overdraagt vanuit de FSP (FSP Debug Handler).
• Specifieke TIS-functies (TPM Interface Specification) voor het lezen en schrijven rechtstreeks naar de registers van de TPM (Trusted Platform Module) — tis_vendor_read() en tis_vendor_write() zijn toegevoegd.
• Ondersteuning voor het opvangen van dereferentie van nulwijzers via debugregisters is toegevoegd.
• Implementatie van i2c-apparaatdetectie, wat het werken met borden met touchpads of touchscreen van verschillende fabrikanten vereenvoudigt.
• De mogelijkheid om tijdgegevens in een formaat dat geschikt is voor het genereren van FlameGraph-diagrammen op te slaan, wat visueel laat zien hoeveel tijd wordt besteed aan verschillende fasen van de opstart, is toegevoegd.
• De cbmem-hulpprogramma is bijgewerkt met een optie om een ‘timestamp’ tijd uit de gebruikersruimte aan de cbmem-tabel toe te voegen, wat het mogelijk maakt om gebeurtenissen te weerspiegelen in cbmem die plaatsvinden na CoreBoot.

Daarnaast kan de publicatie van een open brief van de OSFF (Open-Source Firmware Foundation) aan Intel worden opgemerkt, waarin wordt voorgesteld om de ondersteuningspakketten (FSP, Firmware Support Package) meer modulair te maken en te beginnen met het publiceren van documentatie met betrekking tot de initiatie van Intel SoCs. Het ontbreken van FSP-code maakt het aanzienlijk moeilijker om open firmware te creëren en belemmert de vooruitgang van Coreboot-, U-Boot- en LinuxBoot-projecten op Intel-hardware. Eerder heeft een soortgelijke initiatief succes gehad en heeft Intel de code van de door de gemeenschap gevraagde PSE (Programmable Services Engine) firmware geopend.

Bron: opennet.ru