Allvarlig säkerhetsbrist upptäckt i BIOS på många datorer

För att det kan göras utan att SecureBoot kan stoppa det. Det är själva nyheten.

Det var inte vad jag frågade. Jag frågade varför det körs kod i en bildfil. En bildvisningsfunktion borde inte köra kod i bildfilen för att visa den. Där är det nåt fundamentalt fel.

Det är precis vad jag menar med att det är själva nyheten, att det finns en exploit som tillåter angripare exekvera b.la. DXE kod via logga och ta över datorn. OE tillvekare som HP, Dell, Lenov m.fl. kör säkerligen ingen kod via sin bitmap för då får man hoppas att man reagerat tidigare.

Extra spännande kombinerat med exempelvis MSIs läckta signeringsnycklar. Lite osäker på hur statusen är idag men likväl.

https://arstechnica.com/information-technology/2023/05/leak-o...

Oj, jävlar.. det låter extremt illa. Vet du om MSI gåt ut med mer information om detta? Är man säker bara man låter bli att uppdatera UEFI? men med nyheten i denna artikeln är man inte säker om man låter bli... >_<

Fast räcker det verkligen att exekvera något med admin-rättigheter? Jag menar, att ändra BIOS kräver ju normalt lite mer än så.

Skönt annars att sitta på ett Asus-moderkort där de inte bara har värdelösa BIOS-uppdateringar, utan även lägger upp fel filer för nedladdning. Vad kan gå fel liksom...

Det handlar om att utnyttja en bug, kanske i koden som läser in bilden, eller på andra ställen, och gömma kod i bildfilen, antingen dolt efter all giltig bilddata, eller i själva bilden. När du utnyttjar buggen så kan du få exekveringen att börja köra din dolda kod som fanns i bildfilen som var infekterad

Bilden i sig skulle såklart inte exekveras i vanliga fall

Det är varför sårbarheten är så allvarlig.

Det där låter mer som en film i mission impossible klass. En "vanlig" hackare installerar Ransomware o går vidare till nästa dator. Så en bugg som vi vanliga dödliga inte behöver bry oss om med andra ord

Aaaw shit, here we go again

Va och kollade om det hade kommit nån ny bios och dom hade släppt en ny i dag så jag drog in den tog ca 20 min för datorn att ladda in den så mycket nytt vadet i biosen massa uppdateringar .

Man läser om säkerhetsbrister relativt ofta och vissa framhåller hur vanligt det är att man utnyttjar bristerna men ändå har jag eller någon jag känner aldrig blivit hackade på säkert 20-30 år? Iallafall inte vad man vet. Så frågan är hur vanligt detta verkligen är.

Vad som dock sker hyfsat ofta är försök att kapa diverse service konton, det dyker upp återställningsmail lite då och då. Men än så länge har aldrig någon lyckats kapa något konto.

Jag ifrågasätter nödvändigtvis inte enkelheten i att utnyttja säkerhetsbristerna utan snarare på hur vanligt det är att det sker.

Det verkar finnas två möjliga vägar i attacken, som finns eller ej beroende på den specifika implementationen i det UEFI ("BIOS") som används på datorn:

• Skriva den elaka bildfilen till en förutbestämd sökväg i ESP-partitionen

• Flasha om UEFI med en modifierad version som har en elak bildfil som logotyp (vilket går för sig eftersom arean som bilden ligger i inte var signerad)

Vad gäller ESP-spåret har väl ett "BIOS password" i sig ingen relevans.
Vad gäller flash-spåret så beror det väl på hur nedlåst allt är... kan man flasha om UEFI utan så...

Rena spekulationer och gissningar men jag skulle gissa på att de använder saker som detta när tillfälle och kunskap finns. Skulle dock också gissa att de inte har intern kompetens för att hitta dessa typer av säkerhetsbrister själva utan köper kunskap om dem, eller till och med hela paket, från tredje part (tänk typ NSO group.)

För oss vanliga dödliga är det nog hyfsat safe.
Företag/organisationer däremot…

Ja, det är klart att det är fel. Tyvärr inget särskilt unikt med fel (buggar) i kod, dock.
Och om koden är skriven i t.ex. C (är nog att betrakta som relativt sannolikt) så blir ju konsekvensen väldigt lätt just sådant här.

Det hela kan väl ses som en direkt parallel till t.ex. https://www.sweclockers.com/nyhet/37190-flera-webblasare-uppd... och https://www.sweclockers.com/nyhet/37299-google-tapper-allvarl... fast här i UEFI-kod istället för kod som körs i webbläsare.

Ja, precis... det är väl en bugg i koden som tolkar bildformatet.
Tyvärr är det ju mycket vanligt att det smyger sig in sådant; lätt att skaparen råkat förutsätta att bildfilen faktiskt följer formatet korrekt och missat att skärskåda precis varenda uns av metainformation läst ur filen. Och om man missat något och det möjliggör t.ex. buffer overflow i den tolkande koden så är det ju sannolikt kört.

Är väl bl.a. att skit som lägger sig i bios är potentiellt svårare att bli av med / mycket bättre på att gömma sig.
Förövaren vill ju inte att deras skit ska försvinna vid första bästa anti-virus uppdatering.
Klassikern blås hårddisken och installera om skulle ju inte göra mycket heller eftersom det inte ligger på hårddisken längre.

Nej, här gäller det att även flasha om BIOS utan CPU, för kör man standard med CPU kan ju även flashprogramvaran vara påverkad.

Kod och data är samma sak i en von Neumann-arkitektur. De lever i samma RAM. Data måste naturligtvis kunna skrivas för att få något vettigt gjort, alltså kan man skriva kod som därefter kan köras.

Moderna operativsystem har en del skydd för att slumpa var koden ligger för att göra det svårare att utnyttja säkerhetshål och en del mekanismer för att låsa visst del av RAM från att skrivas över. Men här pratar vi ju om UEFI, som inte nödvändigtvis är ett operativsystem i den bemärkelsen.

Bildparsern ska ju flytta information från bildfilen, till en bit av RAM som kan visas på skärmen, enligt någon algoritm. Många bildfiler behöver packas upp eftersom de är komprimerade.

Man manipulerar bilden så att den får bildparsern att göra något galet, till exempel att skriva över befintlig UEFI-kod med kod från bilden. Man gör det på ett sätt så att koden sedan körs. Klassisk exploit-teknik, baserat på att indata inte valideras korrekt. Som programmerare kan man aldrig lita på att indata är korrekt.

Ett exempel från Ars-artikeln.

Det som är imponerande här är att man lyckats med en exploit som sker på en nivå där det måste vara extremt svårt att debugga exploiten tills den fungerar. Det är antagligen därför man säger att man jobbat med det ett år. Man har uppenbarligen kunnat dekompilera UEFI-koden och kunnat hitta en del den vägen, alternativt lyckats köra det hela i någon form av virtuell maskin, eller både och - vilket antagligen har underlättat en hel del.

Det konceptet är jag helt med på. Men som artikeln var formulerad tolkade jag det som att själva bildfilen innehöll kod som medvetet kördes av moderkortets bildvisningskod.

Nej, men bildfilen innehåller visserligen kod... men den körs inte avsiktligt utan via typ en buffer overflow triggad av ett avsiktligt fel i bildfilen eller liknande. Dvs "som vanligt" i sammanhanget.

Fast det var, än en gång, inte vad jag skrev.