Servere expuse la vulnerabilitate critică în firmware UEFI

De ce sunt periculoase greșelile de firmware?

O vulnerabilitate critică a fost descoperită în firmware-ul UEFI, software-ul de pornire care rulează pe majoritatea serverelor și centrelor de date din lume.

Defectul, evaluat la 9,5 din 10 pentru gravitate, se află în baza de cod TianoCore EDK II, un proiect open-source folosit de aproape toți marii producători de servere.

Atacatorii care exploatează această breșă pot prelua controlul complet al mașinii înainte ca sistemul de operare să se încarce.

Vulnerabilitatea stă adânc în stratul de firmware, ceea ce înseamnă că patch-urile standard ale sistemului de operare și unelile de securitate o rată adesea. Deoarece firmware-ul rulează înainte ca orice mecanism de securitate al OS-ului să fie activ, o exploatare reușită oferă atacatorului acces privilegiat și persistent la hardware-ul.

Firmware-ul funcționează sub sistemul de operare, ceea ce face detectarea și aplicarea patch-urilor mult mai dificilă decât pentru defectele software obișnuite. Majoritatea hardware-ului de server vine cu firmware preinstalat pe care producătorii rareori actualizează, decât dacă se emite o alertă critică. Acest lucru creează o fereastră lungă în care atacatorii pot instala discret uși din spate persistente care supraviețuiesc restarturilor și reinstalațiilor de OS.

Reușesc centrele de date să patch-uiteze suficient?

Echipele de securitate raportează că baza de cod TianoCore EDK II este integrată în echipamente de la Dell, HPE, Lenovo și marii furnizori de infrastructură cloud. Natura open-source a bazei de cod înseamnă că vulnerabilitatea a fost divulgată public, oferind atacatorilor o hartă clară pentru exploatare.

Ciclul de patch-uri pentru actualizări de firmware este notoriu de lent. Spre deosebire de software, actualizările de firmware necesită adesea un restart complet al hardware-ului și uneori o vizită fizică de service.

Centrele de date mari, cu mii de servere identice, se confruntă cu provocarea logistică de a coordona actualizările pe tot un rack fără a perturba sarcinile live.

Producătorii au lansat versiuni actualizate de firmware, dar adoptarea ia săptămâni sau luni în mediile enterprise. În timpul acestei lacune, atacatorii pot scana sistemele nepatch-uite și pot desface exploatare care persistă peste restarturi, făcând amenințarea durabilă și dificilă de eradicat.

Ce este exact TianoCore EDK II? TianoCore EDK II este o bază de cod open-source pentru firmware UEFI, software-ul de nivel scăzut care inițializează hardware-ul înainte ca orice sistem de operare să se încarce.

Întrebări frecvente!

Este baza pentru firmware-ul din majoritatea hardware-ului comercial de servere.

Cum exploatează un atacator această vulnerabilitate?

Un atacator cu acces fizic sau de rețea la server poate injecta cod malițios în firmware, obținând control privilegiat persistent care supraviețuiește restarturilor și reinstalațiilor de OS.

Cum ar trebui să reacționeze organizațiile? Organizațiile ar trebui să facă imediat un inventar al tuturor serverelor afectate, să aplice actualizările de firmware de la producător și să monitorizeze semnele de modificare neautorizată a firmware-ului.

Prioritizarea sistemelor de producție critice este esențială pentru a limita expunerea.