Onderzoekers van Binarly hebben een reeks kwetsbaarheden ontdekt in de afbeeldingsparsering van UEFI-firmware van verschillende fabrikanten. Deze kwetsbaarheden maken het mogelijk om eigen code uit te voeren tijdens het opstarten door speciaal voorbereide afbeeldingen te plaatsen in het ESP (EFI-systeempartitie) of in delen van de firmware-update zonder digitale handtekening. De voorgestelde aanvalsmethode kan worden gebruikt om de UEFI Secure Boot-verificatiewijze en hardwarebeveiligingsmechanismen zoals Intel Boot Guard, AMD Hardware-Validated Boot en ARM TrustZone Secure Boot te omzeilen.
Het probleem wordt veroorzaakt doordat firmware gebruikerslogo's toestaat en hiervoor afbeeldingsparserbibliotheken gebruikt die op firmware-niveau draaien zonder privilegeverlaging. Het is opgemerkt dat moderne firmware code bevat voor het parseren van BMP-, GIF-, JPEG-, PCX- en TGA-indelingen, waarin kwetsbaarheden aanwezig zijn die leiden tot bufferoverflow bij het parseren van onjuiste gegevens.
Kwetsbaarheden zijn ontdekt in firmware die wordt geleverd door verschillende hardwareleveranciers (Intel, Acer, Lenovo) en firmwareleveranciers (AMI, Insyde, Phoenix). Aangezien de problematische code aanwezig is in standaardcomponenten die door onafhankelijke firmwareleveranciers zijn geleverd en worden gebruikt als basis voor het maken van hun eigen firmware door verschillende hardwarefabrikanten, zijn deze kwetsbaarheden niet specifiek voor bepaalde leveranciers en hebben ze invloed op het hele ecosysteem.
Details over de ontdekte kwetsbaarheden zullen op 6 december worden onthuld tijdens de Black Hat Europe 2023-conferentie. In de presentatie op de conferentie zal ook een exploit worden gedemonstreerd die het mogelijk maakt om code met firmware-rechten uit te voeren op systemen met x86- en ARM-architectuur. Aanvankelijk werden de kwetsbaarheden ontdekt tijdens de analyse van Lenovo-firmware, gebouwd op platforms van Insyde, AMI en Phoenix, maar ook firmware van Intel en Acer wordt als potentieel kwetsbaar genoemd.
Bron: opennet.ru
