Gần 25 nhà cung cấp máy tính bị ảnh hưởng bởi lỗ hổng firmware UEFI

Các lỗ hổng nghiêm trọng trong firmware UEFI của InsydeH2O được sử dụng bởi nhiều nhà cung cấp máy tính như Fujitsu, Intel, AMD, Lenovo, Dell, ASUS, HP, Siemens, Microsoft và Acer đã được phát hiện bởi công ty công nghệ Binarly.

UEFI (Unified Extensible Firmware Interface) là giao diện giữa firmware của thiết bị và hệ điều hành, xử lý quá trình khởi động, chẩn đoán hệ thống và các chức năng sửa chữa.

Tồng cộng 23 lỗ hổng đã được tìm thấy nằm trong phần mềm quản lý hệ thống (SMM) cung cấp các chức năng như quản lý nguồn và điều khiển phần cứng.

Đặc quyền SMM cao hơn cả OS kernel, vì vậy hệ thống dễ bị tấn công gây hậu quả nghiêm trọng. Kẻ tấn công cục bộ hoặc từ xa chiếm quyền quản trị khai thác các lỗ hổng SMM có thể thực hiện các tác vụ sau:

Vô hiệu hóa nhiều tính năng bảo mật phần cứng (SecureBoot, Intel BootGuard).
Cài đặt phần mềm liên tục để không bị xóa dễ dàng.
Tạo backdoor và các kênh liên lạc để lấy dữ liệu nhạy cảm.

Cụ thể, 10 lỗ hổng có thể bị khai thác để leo thang đặc quyền, 12 lỗ hổng hỏng bộ nhớ trong SMM và 01 lỗ hổng là lỗi bộ nhớ trong Môi trường điều khiển eXecution của InsydeH2O (DXE). Trong số đó các lỗ hổng với mã định danh: CVE-2021-45969, CVE-2021-45970 và CVE-2021-45971 ở mức độ nghiêm trọng với CVSS 9,8/10.

Binarly lưu ý: “Khoảng 25 nhà cung cấp đều đang sử dụng firmware SDK dựa trên Insyde để phát triển các phần của firmware (UEFI). Trung tâm Điều phối CERT của Hoa Kỳ đã xác nhận 3 nhà cung cấp có sản phẩm bị ảnh hưởng là: Fujitsu, Insyde Software Corporation và Intel (chỉ CVE-2020-5953)”.

Insyde Software đã phát hành các bản cập nhật firmware để vá tất cả các lỗ hổng an ninh và xuất bản các thông cáo chi tiết để ấn định mức độ nghiêm trọng và mô tả cho từng lỗ hổng. Tuy nhiên cần thời gian để các nhà sản xuất (OEM) cập nhật tới các thiết bị của họ.