Intel ได้ยืนยันความถูกต้องของเฟิร์มแวร์ UEFI และซอร์สโค้ด BIOS ที่เผยแพร่โดยบุคคลที่ไม่รู้จักบน GitHub มีการเผยแพร่โค้ด ยูทิลิตี้ เอกสาร blobs และการตั้งค่าทั้งหมด 5.8 GB ที่เกี่ยวข้องกับการสร้างเฟิร์มแวร์สำหรับระบบที่มีโปรเซสเซอร์ที่ใช้สถาปัตยกรรมไมโคร Alder Lake ซึ่งเปิดตัวในเดือนพฤศจิกายน 2021 การเปลี่ยนแปลงล่าสุดในโค้ดที่เผยแพร่คือวันที่ 30 กันยายน 2022
ตามข้อมูลของ Intel การรั่วไหลเกิดขึ้นเนื่องจากความผิดพลาดของบุคคลที่สาม และไม่ได้เป็นผลมาจากการประนีประนอมในโครงสร้างพื้นฐานของบริษัท มีการกล่าวถึงด้วยว่าโค้ดที่รั่วไหลนั้นครอบคลุมอยู่ในโปรแกรม Project Circuit Breaker ซึ่งให้รางวัลตั้งแต่ 500 ถึง 100000 ดอลลาร์สหรัฐฯ สำหรับการระบุปัญหาด้านความปลอดภัยในเฟิร์มแวร์และผลิตภัณฑ์ของ Intel (หมายความว่านักวิจัยจะได้รับรางวัลจากการรายงานช่องโหว่ที่ค้นพบโดยใช้เนื้อหาของ รั่ว).
ไม่ได้ระบุว่าใครคือต้นตอของการรั่วไหล (ผู้ผลิตอุปกรณ์ OEM และบริษัทที่พัฒนาเฟิร์มแวร์แบบกำหนดเองสามารถเข้าถึงเครื่องมือในการประกอบเฟิร์มแวร์) การวิเคราะห์เนื้อหาของไฟล์เก็บถาวรที่เผยแพร่เปิดเผยการทดสอบและบริการบางอย่างเฉพาะสำหรับผลิตภัณฑ์ Lenovo ("ข้อมูลการทดสอบแท็กคุณลักษณะของ Lenovo", "บริการสตริงของ Lenovo", "Lenovo Secure Suite", "Lenovo Cloud Service") แต่การมีส่วนร่วมของ Lenovo ใน การรั่วไหลยังไม่ได้รับการยืนยัน ไฟล์เก็บถาวรยังเปิดเผยยูทิลิตี้และไลบรารีของ บริษัท Insyde Software ซึ่งพัฒนาเฟิร์มแวร์สำหรับ OEM และบันทึก git มีอีเมลจากพนักงานคนหนึ่งของ บริษัท LC Future Center ซึ่งผลิตแล็ปท็อปสำหรับ OEM ต่างๆ ทั้งสองบริษัทร่วมมือกับเลอโนโว
ตามข้อมูลของ Intel รหัสที่เปิดเผยต่อสาธารณะไม่มีข้อมูลที่เป็นความลับหรือส่วนประกอบใด ๆ ที่อาจนำไปสู่การเปิดเผยช่องโหว่ใหม่ ในเวลาเดียวกัน Mark Ermolov ซึ่งเชี่ยวชาญในการวิจัยความปลอดภัยของแพลตฟอร์ม Intel ได้ระบุในข้อมูลเก็บถาวรที่เผยแพร่เกี่ยวกับการลงทะเบียน MSR ที่ไม่มีเอกสาร (การลงทะเบียนเฉพาะรุ่น ใช้สำหรับการจัดการไมโครโค้ด การติดตามและการดีบัก) ข้อมูลเกี่ยวกับ ซึ่งอยู่ภายใต้ข้อตกลงไม่เปิดเผยข้อมูล นอกจากนี้ ยังพบคีย์ส่วนตัวในไฟล์เก็บถาวรซึ่งใช้ในการลงนามเฟิร์มแวร์แบบดิจิทัล ซึ่งอาจนำไปใช้เพื่อหลีกเลี่ยงการป้องกัน Intel Boot Guard (การทำงานของคีย์ยังไม่ได้รับการยืนยัน เป็นไปได้ว่านี่คือคีย์ทดสอบ)
ที่มา: opennet.ru