PixieFAIL: миллионы компьютеров и ноутбуков уязвимы к компрометации UEFI

Исследователи из французской компании Quarkslab обнаружили множество серьёзных уязвимостей в Tianocore EDK II, открытой реализации спецификации UEFI, которые могут быть использованы для удалённого выполнения кода.

9 уязвимостей, получившие общее наименование PixieFAIL, могут привести к отказу в обслуживании, утечке информации, удалённому выполнению кода, отравлению кэша DNS и перехвату сетевых сессий. Они были обнаружены во время осмотра NetworkPkg, который предоставляет драйверы и приложения для конфигурации сети.

Уязвимый модуль используется многими производителями, включая Microsoft, ARM, Insyde, Phoenix Technologies и AMI. Главный технический директор Quarkslab также подтвердил наличие уязвимого кода в адаптации Tianocore EDK II от Microsoft — Project Mu.

Девять уязвимостей описаны под следующими идентификаторами CVE:

1. CVE-2023-45229: недостаток целых чисел при обработке опций IA_NA/IA_TA в сообщении DHCPv6 Advertise;
2. CVE-2023-45230: переполнение буфера в клиенте DHCPv6 из-за длинной опции Server ID;
3. CVE-2023-45231: чтение за пределами массива при обработке усечённых опций в сообщении ND Redirect;
4. CVE-2023-45232: бесконечный цикл при разборе неизвестных опций в заголовке Destination Options;
5. CVE-2023-45233: бесконечный цикл при разборе опции PadN в заголовке Destination Options;
6. CVE-2023-45234: переполнение буфера при обработке DNS-серверов в рекламном сообщении DHCPv6;
7. CVE-2023-45235: переполнение буфера при обработке параметра идентификатора сервера из рекламного сообщения прокси-сервера DHCPv6;
8. CVE-2023-45236: Предсказуемые начальные порядковые номера TCP;
9. CVE-2023-45237: Использование слабого генератора псевдослучайных чисел.

Quarkslab выпустила PoC-эксплойт для демонстрации первых семи уязвимостей, позволяя защитникам создавать сигнатуры для обнаружения попыток заражения.

Координационный центр CERT-CC опубликовал уведомление со списком затронутых и потенциально уязвимых производителей, а также рекомендациями по внедрению исправлений и мер защиты. Представители центра подтвердили, что Insyde, AMI, Intel и Phoenix Technologies затронуты, но точный статус их уязвимости пока остаётся неизвестным.