Säkerhetsforskare upptäcker allvarlig sårbarhet i BIOS och UEFI

Vissa implementationer av BIOS/UEFI misslyckas med att aktivera skrivskyddet när datorn vaknar upp från vänteläge, vilket lämnar startmiljön öppet för angripare.

Det är inte enbart sårbarheter i populära program som öppnar upp för angrepp. Allt fler rapporter inkommer om att även vanliga datorkomponenter innehåller allvarliga säkerhetsbrister, där exempelvis USB-protokollet kritiseras för göra vissa typer av attacker nästintill omöjliga att upptäcka. Nu framkommer det att även UEFI befinner sig i riskzonen.

uefi.jpg

I en rapport från Carnegie Mellon University beskrivs en allvarlig sårbarhet i BIOS/UEFI. Vissa implementationer misslyckas med att aktivera skrivskydden för startmiljön när datorn vaknar upp från vänteläge (sleep). Felet kan således utnyttjas för att skriva till BIOS och exempelvis plantera skadlig kod.

An attacker is free to reflash the BIOS with an arbitrary image simply by forcing the system to go to sleep and wakes again. This bypasses the enforcement of signed updates or any other vendor mechanisms for protecting the BIOS from an arbitary reflash.

Säkerhetsforskare bekräftar att sårbarheten återfinns i datorer från Apple och Dell, som efter upptäckten publicerat uppdateringar för att rätta till problemet. Betydligt fler kan dock vara berörda, däribland Intel, HP, Lenovo, Sony, Toshiba, Asus samt BIOS-utvecklarna Phoenix och American Megatrends (AMI).

Kommentarer till artikeln

29 debattinlägg

Skicka en rättelse
87

Test: Asus Radeon RX 480 Dual OC 4 GB och Palit Geforce GTX 1060 Dual 3 GB

Det blåser upp till storm i mellanklassen, där SweClockers testlabb blir arena för en sann grafikkortsbatalj mellan lågminnesvarianterna av Geforce GTX 1060 och Radeon RX 480. Läs mer

49

Battlefield 2142 återupplivas av fans

I år fyller Battlefield 2142 tio år och i samband med detta passar en grupp hängivna fans på att ge spelet nytt liv i form av en gratisversion med fungerande servrar. Läs mer

14

Titanfall 2 får systemkrav

En av höstens stora förstapersonstitlar Titanfall 2 släpps nästa månad. Förutom konsol kommer även spelet till PC/Windows och utvecklarna meddelar nu kraven för plattformen. Läs mer

14

In Win släpper nätaggregaten Classic Series med 80 Plus Platinum

Med hög verkningsgrad i fokus sjösätter In Win två nya nätaggregat i Classic Series på 750 och 900 W, där båda är fullt modulära och levereras med 80 Plus Platinum-certifiering. Läs mer

41

Yahoo: "500 miljoner e-postkonton på vift efter dataintrång"

Internetgiganten Yahoo går nu ut med att hela 500 miljoner e-postkonton är på vift efter ett intrång, som beskrivs som ett av de största någonsin. Läs mer

35

Test: Zowie EC1-A och EC2-A

Danska Zowie gör ett besök i testlabbet med spelmössen EC1-A och EC2-A, där fokus hamnar på E-sport och seriöst spelande. Häng med till testlabbet för en ordentlig genomgång. Läs mer

21

Testpilot: Corsair MM800 RGB Polaris

För den som gillar disco och att sticka ut har testpiloten "TheMadPanda" tagit en närmare titt på Corsairs LED-belysta musmatta MM800 RGB Polaris. Läs mer

17

Resident Evil 7: Biohazard får systemkrav

Nästa del i Resident Evil-serien släpps inte förrän i januari nästa år, men redan nu släpper utvecklaren Capcom systemkrav för spelet. Läs mer

19

Scythe tillkännager CPU-kylaren Byakko

För kompakta datorbyggen sjösätter Scythe den nya tornkylaren Byakko, som utöver relativt små mått har en asymmetrisk design för att inte ta i RAM-minnena. Läs mer

49

Blizzard byter namn på Battle.net

Blizzard ska under de kommande månaderna byta namn på välkända Battle.net. Syftet är att få alla tjänster under samma varumärke. Läs mer

31

AMD och Nvidia släpper drivrutiner med optimeringar för Forza Horizon 3

Nytt spelsläpp innebär nya drivrutiner från grafikkortstillverkarna Nvidia och AMD. Denna gång handlar det om optimeringar för Forza Horizon 3 som inom kort släpps till PC/Windows. Läs mer

26

EU slopar planer om begränsad roaming

Efter skarp kritik slopar EU planerna om begränsad roaming inom EU-länderna. För att förhindra missbruk ska istället operatörer kunna flagga för detta och lägga på extra kostnader. Läs mer