Názory k článku
Kritická zranitelnost UEFI LogoFAIL

Nikoliv. Ta ta jina, blize neurcena zranitelnost s eskalaci prav vam umozni ziskat takova prava, ze to logo v UEFI vymenite. A cili to samozrejme na desktopy/notebooky, kde se to logo implicitne zobrazuje a obcas to ani nejde vypnout. A k cemu to bude nasledne vyuzito je vec dalsi...

Podceneni, ktere tu prezentujete samo o sobe vede ke spouste prusvihu :-) Ona kyberbezpecnost je celkove dost komplexni zalezitost, kombinaci zneuziti vicero zranitelnosti musite predpokladat, dnes uz je to naprosto bezna vec - a pokud to nedelate, tak do bezpecnosti fakt radsi nefusujte... ;-)

Jenze jakmile na normalnim desktopu/notebooku ziskate prava ke zmene UEFI loga, mate v tu chvili i opravneni zmenit vsechny programy, knihovny, nainstalovat ovladace, firmware i jadro. Pouzit k utoku UEFI zranitelnost je v tu chvili zbytecne komplikovane.

Pokud tomu neverite, tak si zkuste na svem pocitaci zmenit UEFI logo a pak se podivejte, jestli s opravnenimi ke zmene loga muzete modifikovat napriklad libc knihovnu.

Nemám představu, jak se mění UEFI logo a nemám potřebné znalosti, tak mě případně opravte.

1) Jsou k tomu potřeba root či admin. oprávnění i na jiných OS, třeba Windows?

2) Je ke změně loga potřeba tak silné oprávnění, které by mi umožnilo vyřadit Secure Boot?

3) Dovedu si představit, že třeba výrobce dodá bezpečný program či ovladač určený pro nevinné nahrání UEFI loga, který bude určený pro běžné uživatele a nebude vyžadovat vyšší oprávnění (protože chmod u+s nebo tak něco)

4) Změna jádra či libc bude odhalitelná a případnou aktualizací či reinstalací se zruší, změna v UEFI ovladači bude perzistentní a možná by šla dobře maskovat, je to nižší vrstva než OS. Tahle zranitelnost jde hodně hluboko.

ad 2) Hledal jsem, jak se logo meni, a na ACERu je udajne ulozene spolu s biosem ve flash pameti, kterou je treba celou preflashovat. Minimalne bych ocerkaval, ze bude potreba zapis na UEFI oddil, kam bezny uzivatel zapisovat nemuze. Na mem systemu oddil ani neni normalne pripojen.

ad 4) Rootkity, ktere jsem pred 20 lety videl, se branily prepsani tim, ze modifikovaly funkci open tak, aby otevreni pro zapis poskytlo alternativni soubor, ktery byl prepsan, a cteni vracelo tento soubor taky. Infikovana data se nahrala jen pri pouziti mmap z linkeru, takze napriklad pomoci md5sum neslo modifikaci odhalit.

Tak problemy s obejitim zabezpeceni EFI oddilu tu uz take byly. A ano, zrovinka treba HP to custom logo ma na tom EFI oddilu. A ze neni normalne pripojen samo o sobe take nic neznamena, v dusledku nejake blize neurcene chyby i toto treba pujde obejit.

Vami odkazovana chyba je typu DoS, podle popisu nezle vyuzit k podvrzeni UEFI dat.

Muzete popsat nejakou blize neurcenou chybu, ktera by umoznila zmenit UEFI oddil, pritom by ale utocnikovi neumoznila instalovat rootkit jinym, snazsim zpusobem? Pokud ne, tak je prakticka vyuzitelnost limitovana k pruniku pouze v pripade, kdy utocnik ma bud fyzicky pristup k zarizeni a nebo jiz vlastni administratorska opravneni, tak jak jsem napsal ve svem predchozim prispevku.

Pisu, ze problemy se zabezpecenim EFI oddilu tu problemy byly. A motivace proc to delat zrovna takto muze byt ruzna, treba se nekde co nejmene napadne usadit. Rootkit bude vic okaty, zatimco nad obrazkem z bootu kazdy mavne rukou - ostatne to tady sam predvadite ;-)

Uvedte alespon jeden konkretni priklad chyby, ktera umozni zmenu UEFI dat a neumozni instalaci bezneho rootkitu.

A proc bych tam hned instaloval rootkit a zbytecne na sebe vic upozornoval, kdyz se muzu jenom schovat do nejakeho obrazku, kde riziko i vy budete bagatelizovat? ;-) A ten rootkit si z kodu schovanem v obrazku natahnu, az ho budu fakt potrebovat. Jak uz jsem psal - motivy muzou byt ruzne. Vas scenar je o tom, ze chcete neco ziskat hned a rychle, ale ono muze byt zajem se treba uhnizdit dlouhodobe a byt co mozna nejvic nenapadny...