Foi revelada a vulnerabilidade (CVE-2021-33164) nas firmware UEFI, que permite a execução de código no nível SMM (System Management Mode), com prioridade superior à do hipervisor e do nível de proteção zero, oferecendo acesso irrestrito a toda a memória do sistema. A vulnerabilidade, batizada de RingHopper, está relacionada à possibilidade de um ataque baseado em tempo utilizando DMA (Direct Memory Access) para corromper a memória do código executado em nível SMM. A existência da vulnerabilidade foi confirmada nas firmware da Intel, Dell e Insyde Software (afirma-se que o problema afeta 8 fabricantes, mas os outros 5 ainda não foram divulgados). As firmware da AMD, Phoenix e Toshiba não são suscetíveis ao problema.
A exploração das vulnerabilidades pode ser realizada a partir do sistema operacional, usando manipuladores SMI (System Management Interrupt) vulneráveis, para os quais são necessários direitos de administrador. O ataque também pode ser realizado com acesso físico em um estágio inicial de inicialização, antes da inicialização do sistema operacional. Para mitigar o problema, os usuários do Linux são aconselhados a atualizar a firmware através do serviço LVFS (Linux Vendor Firmware Service), utilizando a ferramenta fwupdmgr (fwupdmgr get-updates; fwupdmgr update) do pacote fwupd.
A necessidade de privilégios de administrador para realizar o ataque limita a gravidade do problema, mas não impede seu uso como uma vulnerabilidade de segundo nível, para manter a presença após a exploração de outras vulnerabilidades no sistema ou o uso de métodos de engenharia social. O acesso ao SMM (Ring -2) permite a execução de código em um nível que não está sob controle do sistema operacional, o que pode ser utilizado para modificar firmware e inserir código malicioso ou rootkits escondidos em SPI Flash, não detectáveis a partir do sistema operacional, além de desativar a verificação durante a inicialização (UEFI Secure Boot, Intel BootGuard) e realizar ataques a hipervisores para contornar mecanismos de verificação de integridade em ambientes virtuais.
O problema é causado por uma condição de corrida no manipulador SMI (Interruptor de Gerenciamento de Sistema), que ocorre entre a verificação de acesso e a consulta ao SMRAM. Para determinar o momento exato entre a verificação do estado e o uso do resultado da verificação, pode-se usar uma análise por canais externos utilizando DMA. Como resultado, devido à natureza assíncrona do acesso ao SMRAM através do DMA, um atacante pode identificar o momento correto e reescrever o conteúdo do SMRAM, usando DMA para contornar a API do manipulador SMI. Os processadores que suportam mecanismos Intel-VT e Intel VT-d incluem proteção contra ataques de DMA, baseada na aplicação de IOMMU (Unidade de Gerenciamento de Memória de Entrada e Saída), mas esta proteção é eficaz apenas para bloquear ataques de DMA de hardware realizados por meio de dispositivos preparados pelo atacante, e não protege contra ataques via manipuladores SMI.
Fonte: opennet.ru
