Dacă sunt exploatate, aceste defecte pot permite atacatorilor să obțină acces neautorizat la informații sensibile sau, în general, pot cauza probleme
recent au fost dezvăluite informații despre o vulnerabilitate (deja catalogat sub CVE-2021-33164) detectat în firmware-ul UEFI, defectul detectat permite executarea codului la nivel SMM (System Management Mode), care are o prioritate mai mare decât modul hypervisor și inelul de protecție zero și oferă acces nelimitat la toată memoria de sistem.
Vulnerabilitatea, a cărei numele de cod este RingHopper, este legat de posibilitatea unui atac de sincronizare folosind DMA (Acces direct la memorie) pentru a deteriora memoria în codul care rulează la nivelul SMM.
O condiție de cursă care implică acces și validare SMRAM poate fi realizată prin atacuri de sincronizare DMA care depind de condițiile de timp de utilizare (TOCTOU). Un atacator poate folosi sondarea în timp util pentru a încerca să suprascrie conținutul SMRAM cu date arbitrare, ceea ce duce la rularea codului atacatorului cu aceleași privilegii ridicate disponibile pentru CPU (adică, modul Ring -2). Natura asincronă a accesului SMRAM prin controlerele DMA permite unui atacator să efectueze un astfel de acces neautorizat și să ocolească verificările furnizate în mod normal de API-ul controlerului SMI.
Tehnologiile Intel-VT și Intel VT-d oferă o anumită protecție împotriva atacurilor DMA prin utilizarea Unității de gestionare a memoriei de intrare și ieșire (IOMMU) pentru a aborda amenințările DMA. Deși IOMMU poate proteja împotriva atacurilor hardware DMA, controlerele SMI vulnerabile la RingHopper pot fi încă abuzate.
Vulnerabilități poate fi exploatat din sistemul de operare folosind drivere SMI vulnerabil (System Administration Interrupt), care necesită drepturi de administrator pentru a accesa. Atacul se poate face și dacă există acces fizic într-un stadiu incipient al pornirii, într-o etapă anterioară inițializării sistemului de operare. Pentru a bloca problema, utilizatorilor Linux li se recomandă să actualizeze firmware-ul prin LVFS (Linux Vendor Firmware Service) folosind utilitarul fwupdmgr (fwupdmgr get-updates) din pachetul fwupd.
Necesitatea de a avea drepturi de administrator a efectua un atac limitează pericolul a problemei, dar nu împiedică utilizarea sa ca o vulnerabilitate a celei de-a doua legături, pentru a-și menține prezența după exploatarea altor vulnerabilități din sistem sau folosind metode de inginerie social media.
Accesul la SMM (Ring -2) permite executarea codului la un nivel care nu este controlat de sistemul de operare, care poate fi folosit pentru a modifica firmware-ul și pentru a plasa cod rău intenționat sau rootkit-uri ascunse în SPI Flash care nu sunt detectate de sistemul de operare . , precum și pentru a dezactiva verificarea în faza de pornire (UEFI Secure Boot, Intel BootGuard) și atacurile asupra hipervizoarelor pentru a ocoli mecanismele de verificare a integrității mediilor virtuale.
Problema se datorează unei condiții de cursă în controlerul SMI (întreruperea managementului sistemului) care are loc între verificarea accesului și accesul SMRAM. Analiza canalului lateral cu DMA poate fi utilizată pentru a determina momentul potrivit între verificarea stării și utilizarea rezultatului verificării.
Ca rezultat, din cauza naturii asincrone a accesului SMRAM prin DMA, un atacator poate cronometra și suprascrie conținutul SMRAM prin DMA, ocolind API-ul driverului SMI.
Procesoarele compatibile Intel-VT și Intel VT-d includ protecție împotriva atacurilor DMA bazate pe utilizarea IOMMU (Input Output Memory Management Unit), dar această protecție este eficientă în blocarea atacurilor hardware DMA efectuate cu dispozitive de atac pregătite și nu protejează împotriva atacuri prin controlere SMI.
Vulnerabilitatea a fost confirmată în firmware Software Intel, Dell și Insyde (Se pretinde că problema afectează 8 producători, dar restul de 5 nu au fost încă dezvăluiți.) firmware-ul lui AMD, Phoenix și Toshiba nu sunt afectate de problemă.
Fuente: https://kb.cert.org/