Sunucu sistemlerinde yaygın olarak kullanılan ve topluca PixieFAIL kod adı verilen TianoCore EDK2 açık platformunu temel alan UEFI ürün yazılımında dokuz güvenlik açığı belirlendi. Ağ önyüklemesini (PXE) düzenlemek için kullanılan ağ ürün yazılımı yığınında güvenlik açıkları mevcuttur. En tehlikeli güvenlik açıkları, kimliği doğrulanmamış bir saldırganın, IPv9 ağı üzerinden PXE önyüklemesine izin veren sistemlerde ürün yazılımı düzeyinde uzaktan kod yürütmesine olanak tanır.
Daha az ciddi sorunlar hizmet reddine (önyükleme engelleme), bilgi sızıntısına, DNS önbellek zehirlenmesine ve TCP oturumunun ele geçirilmesine neden olur. Çoğu güvenlik açığı yerel ağdan kullanılabilir, ancak bazı güvenlik açıklarına harici bir ağdan da saldırı yapılabilir. Tipik bir saldırı senaryosu, yerel ağdaki trafiğin izlenmesi ve sistemin PXE aracılığıyla başlatılmasıyla ilgili etkinlik tespit edildiğinde özel olarak tasarlanmış paketlerin gönderilmesinden ibarettir. İndirme sunucusuna veya DHCP sunucusuna erişim gerekli değildir. Saldırı tekniğini göstermek için prototip istismarları yayınlandı.
TianoCore EDK2 platformunu temel alan UEFI ürün yazılımı birçok büyük şirkette, bulut sağlayıcısında, veri merkezinde ve bilgi işlem kümelerinde kullanılmaktadır. Özellikle, PXE önyükleme uygulamalı güvenlik açığı bulunan NetworkPkg modülü, ARM, Insyde Software (Insyde H20 UEFI BIOS), American Megatrends (AMI Aptio OpenEdition), Phoenix Technologies (SecureCore), Intel, Dell ve Microsoft (Project Mu) tarafından geliştirilen ürün yazılımında kullanılıyor. ). Güvenlik açıklarının, deposunda EDK2 paketi bulunan ChromeOS platformunu da etkilediği düşünülüyordu ancak Google, bu paketin Chromebook'lara yönelik donanım yazılımında kullanılmadığını ve ChromeOS platformunun sorundan etkilenmediğini söyledi.
Tanımlanan güvenlik açıkları:
- CVE-2023-45230 - DHCPv6 istemci kodunda, çok uzun bir sunucu kimliğinin (Sunucu Kimliği seçeneği) iletilmesiyle istismar edilen bir arabellek taşması.
- CVE-2023-45234 - DHCPv6 sunucusunun varlığını bildiren bir mesajda iletilen DNS sunucusu parametreleriyle bir seçenek işlenirken arabellek taşması meydana geliyor.
- CVE-2023-45235 - DHCPv6 proxy duyuru mesajlarında Sunucu Kimliği seçeneği işlenirken arabellek taşması.
- CVE-2023-45229, bir DHCP sunucusunu tanıtan DHCPv6 mesajlarındaki IA_NA/IA_TA seçeneklerinin işlenmesi sırasında ortaya çıkan bir tamsayı taşmasıdır.
- CVE-2023-45231 Kesilmiş seçenek değerlerine sahip ND Yönlendirme (Komşu Bulma) mesajları işlenirken arabellek dışı veri sızıntısı oluşuyor.
- CVE-2023-45232 Hedef Seçenekleri başlığındaki bilinmeyen seçenekler ayrıştırılırken sonsuz bir döngü oluşuyor.
- CVE-2023-45233 Paket başlığındaki PadN seçeneği ayrıştırılırken sonsuz bir döngü oluşuyor.
- CVE-2023-45236 - TCP bağlantısının sıkıştırılmasına izin vermek için öngörülebilir TCP dizisi tohumlarının kullanılması.
- CVE-2023-45237 – Tahmin edilebilir değerler üreten, güvenilmez bir sözde rastgele sayı oluşturucunun kullanılması.
Güvenlik açıkları 3 Ağustos 2023'te CERT/CC'ye sunuldu ve açıklama tarihi 2 Kasım olarak planlandı. Ancak, birden fazla sağlayıcı arasında koordineli bir yama sürümüne duyulan ihtiyaç nedeniyle, çıkış tarihi başlangıçta 1 Aralık'a, ardından 12 Aralık ve 19 Aralık 2023'e ertelendi, ancak sonuçta 16 Ocak 2024'te açıklandı. Aynı zamanda Microsoft, bilgilerin yayınlanmasının Mayıs ayına kadar ertelenmesini istedi.
Kaynak: opennet.ru