Watafiti kutoka Binarly wamegundua mfululizo wa udhaifu katika msimbo wa uchanganuzi wa picha unaotumiwa katika firmware ya UEFI kutoka kwa wazalishaji mbalimbali. Athari za kiusalama huruhusu mtu kufikia utekelezaji wa msimbo wakati wa kuwasha kwa kuweka picha iliyoundwa mahususi katika sehemu ya ESP (EFI System Partition) au katika sehemu ya sasisho la programu ambayo haijatiwa sahihi kidijitali. Mbinu ya kushambulia inayopendekezwa inaweza kutumika kukwepa utaratibu wa kuwasha uliothibitishwa wa UEFI Secure Boot na mifumo ya ulinzi ya maunzi kama vile Intel Boot Guard, AMD Hardware-Validated Boot na ARM TrustZone Secure Boot.
Tatizo linasababishwa na ukweli kwamba firmware inakuwezesha kuonyesha nembo zilizoainishwa na mtumiaji na hutumia maktaba za uchanganuzi wa picha kwa hili, ambazo zinatekelezwa kwa kiwango cha firmware bila kurejesha marupurupu. Inafahamika kuwa programu dhibiti ya kisasa inajumuisha msimbo wa kuchanganua miundo ya BMP, GIF, JPEG, PCX na TGA, ambayo ina udhaifu unaosababisha kufurika kwa bafa wakati wa kuchanganua data isiyo sahihi.
Udhaifu umetambuliwa katika programu dhibiti inayotolewa na wasambazaji wa maunzi mbalimbali (Intel, Acer, Lenovo) na watengenezaji wa firmware (AMI, Insyde, Phoenix). Kwa sababu msimbo wa tatizo upo katika vipengele vya marejeleo vinavyotolewa na wachuuzi huru wa programu dhibiti na kutumika kama msingi wa watengenezaji mbalimbali wa maunzi kuunda programu yao ya dhibiti, udhaifu huo si mahususi wa muuzaji na huathiri mfumo mzima wa ikolojia.
Maelezo kuhusu udhaifu uliotambuliwa yanaahidiwa kufichuliwa mnamo Desemba 6 katika mkutano wa Black Hat Europe 2023. Wasilisho kwenye mkutano huo pia litaonyesha matumizi makubwa ambayo hukuruhusu kutekeleza msimbo wako na haki za programu dhibiti kwenye mifumo iliyo na usanifu wa x86 na ARM. Hapo awali, udhaifu ulitambuliwa wakati wa uchambuzi wa programu dhibiti ya Lenovo iliyojengwa kwenye majukwaa kutoka kwa Insyde, AMI na Phoenix, lakini programu dhibiti kutoka Intel na Acer pia zilitajwa kuwa zinaweza kuathirika.
Chanzo: opennet.ru