Pesquisadores da empresa Binarly identificaram uma série de vulnerabilidades no código de análise de imagens utilizado em firmwares UEFI de vários fabricantes. As vulnerabilidades permitem a execução de código próprio durante a inicialização, através do uso de uma imagem formatada de forma específica na seção ESP (EFI System Partition) ou em partes de atualizações de firmware que não possuem assinatura digital verificada. O método de ataque proposto pode ser utilizado para contornar o mecanismo de inicialização verificada UEFI Secure Boot e mecanismos de proteção de hardware, como Intel Boot Guard, AMD Hardware-Validated Boot e ARM TrustZone Secure Boot.
O problema é causado pelo fato de que os firmwares permitem a exibição de logotipos indicados pelo usuário e utilizam para isso bibliotecas de análise de imagens, executadas no nível do firmware sem a redução de privilégios. Observa-se que firmwares modernos incluem código para análise de formatos BMP, GIF, JPEG, PCX e TGA, que possuem vulnerabilidades que levam a um estouro de buffer durante a análise de dados inválidos.
As vulnerabilidades foram identificadas em firmwares fornecidos por diversos fornecedores de hardware (Intel, Acer, Lenovo) e fabricantes de firmwares (AMI, Insyde, Phoenix). Como o código problemático está presente em componentes de referência fornecidos por fornecedores independentes de firmware, que são utilizados como base para a criação de seus próprios firmwares por vários fabricantes de hardware, as vulnerabilidades não são específicas de fornecedores particulares e afetam todo o ecossistema.
Detalhes sobre as vulnerabilidades identificadas serão revelados no dia 6 de dezembro na conferência Black Hat Europe 2023. Na apresentação da conferência, também será demonstrado um exploit que permite a execução de código próprio com privilégios de firmware em sistemas com arquitetura x86 e ARM. Inicialmente, as vulnerabilidades foram detectadas durante a análise de firmwares Lenovo, construídos com base em plataformas da Insyde, AMI e Phoenix, mas firmwares da Intel e Acer também são mencionados como potencialmente vulneráveis.
Fonte: opennet.ru
