(oneechanblog) – Lenovoは、100を超えるラップトップモデルのセキュリティアップデートをリリースし、高度なハッカーが、削除または場合によっては検出がほぼ不可能な悪意のあるファームウェアを密かにインストールできるようにする重大な脆弱性を修正しました。
100万台を超えるラップトップに影響を与える3つの脆弱性により、ハッカーはコンピューターのUEFIを変更できるようになります。 Unified Extensible Firmware Interfaceの略で、UEFIは、コンピューターのデバイスファームウェアとそのオペレーティングシステムをブリッジするソフトウェアです。 事実上すべての最新のマシンがオンになっているときに実行される最初のソフトウェアとして、これはセキュリティチェーンの最初のリンクです。 UEFIはマザーボード上のフラッシュチップに常駐しているため、感染を検出することは困難であり、除去することはさらに困難です。
大野
CVE-2021-3971およびCVE-2021-3972として追跡される2つの脆弱性は、Lenovoコンシューマーノートブックの製造プロセス中にのみ使用することを目的としたUEFIファームウェアドライバーに存在します。 Lenovoのエンジニアは、適切に非アクティブ化せずに、ドライバーを本番BIOSイメージに誤って含めました。 ハッカーはこれらのバグのあるドライバーを悪用して、UEFIセキュアブート、BIOS制御レジスタビット、保護範囲レジスタなどの保護を無効にすることができます。これらはシリアルペリフェラルインターフェイス（SPI）に組み込まれ、実行するファームウェアへの不正な変更を防ぐように設計されています。
脆弱性を発見して分析した後、セキュリティ会社ESETの研究者は、3番目の脆弱性であるCVE-2021-3970を発見しました。 これにより、ハッカーは、マシンがシステム管理モードになっているときに悪意のあるファームウェアを実行できます。システム管理モードは、ハードウェアメーカーが低レベルのシステム管理に通常使用する高特権の操作モードです。
広告
「説明によると、これらはすべて、十分に高度な攻撃者にとってはかなり「オーノー」な種類の攻撃です」と、ファームウェアハッキングを専門とするセキュリティ研究者のトランメルハドソンはArsに語った。 「SPIフラッシュのアクセス許可をバイパスするのはかなり悪いことです。」
彼は、ブートガードなどの保護によって重大度が軽減される可能性があると述べました。これは、許可されていない人がブートプロセス中に悪意のあるファームウェアを実行するのを防ぐように設計されています。 繰り返しになりますが、過去の研究者はBootGuardを破壊する重大な脆弱性を発見しました。 それらには、2020年にハドソンによって発見された、コンピューターがスリープモードから抜け出したときに保護が機能しなくなるという3つの欠陥が含まれています。
主流に忍び寄る
まだまれですが、いわゆるSPIインプラントがより一般的になっています。 インターネットの最大の脅威の1つであるTrickbotとして知られるマルウェアは、2020年にコードベースにドライバーを組み込み始め、事実上すべてのデバイスにファームウェアを書き込むことができるようになりました。 悪意のあるUEFIファームウェアが実際に使用されている他の2つの文書化されたケースは、LoJaxです。これは、Sednit、Fancy Bear、APT28などの複数の名前で知られているロシアの国家ハッカーグループによって作成されました。 Kaspersky社は、アジアの外交官のコンピューターで発見しました。
ESETによって発見された3つのLenovoの脆弱性はすべて、ローカルアクセスを必要とします。つまり、攻撃者は、制限のない特権で脆弱なマシンをすでに制御している必要があります。 この種のアクセスの基準は高く、ユーザーをすでにかなりのリスクにさらしている他の場所で1つ以上の重大な他の脆弱性を悪用する必要がある可能性があります。
それでも、脆弱性は、脆弱なラップトップに、従来のマルウェアで通常可能であるものをはるかに超えるマルウェアに感染させる可能性があるため、深刻です。 Lenovoには、影響を受ける100を超えるモデルのリストがあります。
