Bofokoli bo robong bo khethiloe ho firmware ea UEFI ho ipapisitse le sethala se bulehileng sa TianoCore EDK2, se sebelisoang hangata lits'ebetsong tsa li-server, hammoho le codenamed PixieFAIL. Bofokoli bo teng ho "firmware stack" ea marang-rang e sebelisetsoang ho hlophisa boot boot (PXE). Bofokoli bo kotsi ka ho fetesisa bo lumella mohlaseli ea sa netefatsoang ho sebelisa khoutu e hole maemong a firmware lits'ebetsong tse lumellang PXE ho qala marang-rang a IPv9.
Mathata a fokolang haholo a fella ka ho haneloa ha tšebeletso (boot blocking), ho lutla ha tlhahisoleseling, chefo ea cache ea DNS, le ho koeteloa ha nako ea TCP. Bofokoli bo bongata bo ka sebelisoa marang-rang a lehae, empa bofokoli bo bong bo ka boela ba hlaseloa ho tsoa marang-rang a kantle. Boemo bo tloaelehileng ba tlhaselo bo ipapisitse le ho lekola sephethephethe ho marang-rang a lehae le ho romella lipakete tse etselitsoeng ka ho khetheha ha ts'ebetso e amanang le ho qala sistimi ka PXE e fumanoa. Ho fihlella seva sa ho jarolla kapa ho seva ea DHCP ha ho hlokahale. Ho bonts'a mokhoa oa tlhaselo, ho hatisitsoe litlatsetso tsa prototype.
Firmware ea UEFI e thehiloeng sethaleng sa TianoCore EDK2 e sebelisoa lik'hamphaning tse ngata tse kholo, bafani ba maru, litsi tsa data le lihlopha tsa lik'homphieutha. Haholo-holo, mochine o tlokotsing oa NetworkPkg o nang le ts'ebetso ea boot ea PXE e sebelisoa ho firmware e entsoeng ke ARM, Insyde Software (Insyde H20 UEFI BIOS), American Megatrends (AMI Aptio OpenEdition), Phoenix Technologies (SecureCore), Intel, Dell le Microsoft (Project Mu). ). Bofokoli bo ne bo boetse bo lumeloa hore bo ama sethala sa ChromeOS, se nang le sephutheloana sa EDK2 sebakeng sa polokelo, empa Google e boletse hore sephutheloana sena ha se sebelisoe ho firmware bakeng sa Chromebooks le sethala sa ChromeOS ha se amehe ke bothata.
Bofokoli bo bonts'itsoeng:
- CVE-2023-45230 - Buffer e phalla ka har'a khoutu ea bareki ba DHCPv6, e sebelisitsoe hampe ka ho fetisa ID ea seva e telele haholo (khetho ea ID ea seva).
- CVE-2023-45234 - Ho phalla ha buffer ho etsahala ha ho sebetsana le khetho ka li-parameter tsa seva sa DNS tse fetisitsoeng ka molaetsa o phatlalatsang boteng ba seva sa DHCPv6.
- CVE-2023-45235 - Buffer e phalla ha e sebetsana le khetho ea Seva ea ID ho melaetsa ea phatlalatso ea moemeli oa DHCPv6.
- CVE-2023-45229 ke palo e felletseng ea underflow e etsahalang nakong ea ts'ebetso ea likhetho tsa IA_NA/IA_TA ho melaetsa ea DHCPv6 e bapatsang seva ea DHCP.
- CVE-2023-45231 Ho lutla ha data ka ntle ho buffer ho etsahala ha o sebetsana le melaetsa ea ND Redirect (Neighbor Discovery) e nang le likhetho tse fokolitsoeng.
- CVE-2023-45232 Loop e sa feleng e etsahala ha ho arola likhetho tse sa tsejoeng hloohong ea Likhetho tsa Sebaka.
- CVE-2023-45233 Loop e sa feleng e etsahala ha o khetha khetho ea PadN hloohong ea pakete.
- CVE-2023-45236 - Ts'ebeliso ea peo ea tatellano ea TCP e lebelletsoeng esale pele ho lumella khokahano ea khokahano ea TCP.
- CVE-2023-45237 - Ts'ebeliso ea jenereithara ea linomoro tsa pseudo-random e sa tšepahaleng e hlahisang boleng bo ka boleloang esale pele.
Likotsi li ile tsa romelloa ho CERT/CC ka Phato 3, 2023, 'me letsatsi la phatlalatso le reretsoe ka la 2 Pulungoana. Leha ho le joalo, ka lebaka la tlhoko ea tokollo e hokahaneng ea patch ho barekisi ba bangata, letsatsi la tokollo le ile la khutlisetsoa morao ho la 1 Tšitoe, la ntan'o khutlisetsoa morao ho la 12 Tšitoe le la 19 Tšitoe 2023, empa la qetella le senotsoe ka la 16 Pherekhong 2024. Ka nako e ts'oanang, Microsoft e ile ea kopa ho chechisa phatlalatso ea tlhahisoleseling ho fihlela Mots'eanong.
Source: opennet.ru