В загрузчике U-Boot обнаружена опасная брешь

Некорректная проверка образа ОС открывает возможность для выполнения на устройствах стороннего кода.

Эксперты обнаружили серьезную брешь в доверенном загрузчике U-Boot. Ошибка в работе с оперативной памятью позволяет злоумышленнику подменить загрузочный образ системы и выполнить сторонний код на компьютере жертвы.

Уязвимое ПО используется в множестве роутеров, электронных книг, ноутбуков, планшетов, отвечая за конфигурацию базовых настроек при запуске и загрузку ядра ОС. От его корректной работы зависит целостность ключевых программных компонентов.

Как сообщил главный специалист по аппаратной безопасности F-Secure Андреа Барисани (Andrea Barisani), в U-Boot не предусмотрено какой-либо защиты от перезаписи системной памяти при работе со слишком большим образом ядра. Если ПО получает для загрузки образ, который хотя бы на 1 Мбайт будет превышать доступный программе по умолчанию объем RAM, утилита не сможет запустить проверку его легитимности. В результате злоумышленник сможет выполнить свой код.

Для проверки аутентичности кода загрузчик использует компонент Verified Boot — собственную версию протокола Secure Boot, на котором работают, в частности, Windows-устройства. Однако он не защищает от описанной атаки, поскольку запускается уже после того, как память оказывается переписана.

Эксперт уточнил, что разработчики U-Boot не предусмотрели возможность заблокировать работу со слишком большим образом ядра ОС. Пользователь может прописать программе команды для загрузки образа строго определенного размера. Однако этот способ не работает, если U-Boot получает его из сетевого расположения по протоколу TFTP — в этом случае командная строка просто не поддерживает аргументы для ограничения размера файла.

Уязвимости получили идентификаторы CVE-2018-18440 и CVE-2018-18439. Исследователь тестировал U-Boot 2018.09-rc1, однако, по его словам, проблема актуальна для всех версий программы.

Компрометация доверенной загрузки создает множество серьезных угроз для пользователя, что вызывает интерес продвинутых хакерских групп. Так, в сентябре эксперты обнаружили зловред, который запускается напрямую из интерфейса UEFI (Unified Extensible Firmware Interface — обеспечивает обмен данными между ОС и базовыми компьютерными микропрограммами). Опасное ПО использовала группировка Fancy Bear, которая за десять лет отметилась атаками на частные и государственные организации по всему миру.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 1

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля