Специалисты Binarly сообщают,что сотни UEFI-продуктов от 10 поставщиков подвержены риску взлома из-за критической уязвимости PKfail в цепочке поставок прошивки, которая позволяет обходить Secure Boot и устанавливать вредоносное ПО.
Уязвимые устройства используют тестовый ключ Secure Boot, также известный как Platform Key (PK), сгенерированный American Megatrends International (AMI). Ключ был помечен как “DO NOT TRUST”, и поставщики должны были заменить его собственными ключами, сгенерированными безопасным образом.
Однако часто OEM-производители или поставщики устройств не заменяют Platform Key, что приводит к поставке устройств с ненадежными ключами. Отметим, что Platform Key управляет базами данных Secure Boot и поддерживает цепочку доверия от прошивки до операционной системы.
Среди производителей UEFI-устройств, которые использовали ненадежные тестовые ключи, оказались Acer, Aopen, Dell, Formelife, Fujitsu, Gigabyte, HP, Intel, Lenovo и Supermicro. Всего под угрозой оказались813 продуктов.
Уязвимая прошивка Intel
В случае успешной эксплуатации проблемы PKfail киберпреступник с доступом к уязвимым устройствам и закрытой части Platform Key могут обойти защиту Secure Boot, манипулируя базами данных Key Exchange Key, Signature Database и Forbidden Signature Database. После взлома всей цепочки, от прошивки до операционной системы, злоумышленник может подписать вредоносный код и распространить UEFI-руткиты CosmicStrand и BlackLotus.
Binarly отмечает, что более 10% образов прошивок в рассматриваемом наборе используют ненадежный ключ Platform Key. Первая уязвимая прошивка была выпущена в мае 2012 года, а последняя – в июне 2024 года, что делает проблему PKfail одной из самых продолжительных в своем роде, охватывающей период более 12 лет.
Список затронутых устройств, который на данный момент содержит почти 900 устройств, можно найти в описании уязвимости (BRLY-2024-005, оценка CVSS: 8.2). Более детальный анализ результатов сканирования показал, что наша платформа извлекла и идентифицировала 22 уникальных ненадежных ключа
Для предотвращения атаки поставщикам рекомендуется генерировать и управлять Platform Key, используя модули аппаратной безопасности. Необходимо заменить любые тестовые ключи, предоставленные независимыми поставщиками BIOS на собственные ключи, сгенерированные безопасным образом.
Пользователям следует отслеживать обновления прошивки и своевременно применять все исправления безопасности, касающиеся проблемы PKfail. Binarly также опубликовала сайт pk.fail,который помогает пользователям бесплатно сканировать бинарные файлы прошивки для поиска уязвимых устройств и вредоносных нагрузок.