Qualcomm Snapdragoni uusimad püsivara vead vajavad tähelepanu

Turvaettevõte juhib Qualcommi mitme väga tõsiste haavatavuste koordineeritud avalikustamise eest. Snapdragon kiibistik.

Haavatavus tuvastati UEFI (Unified Extensible Firmware Interface) püsivara viitekoodis ja mõjutab ARM-põhiseid sülearvuteid ja seadmeid, mis kasutavad Qualcomm Snapdragoni kiipe, Binarly Researchi andmetel.

Qualcomm avalikustas haavatavused 5. jaanuaril koos saadaolevate plaastrite linkidega. Lenovo on välja andnud ka bülletääni ja BIOS-i värskendus mõjutatud sülearvutite vigade kõrvaldamiseks. Kaks turvaauku on aga endiselt parandamata, märkis Binarly.

Kui neid riistvarahaavatavusi kasutatakse, saavad ründajad süsteemi üle kontrolli, muutes muutujat püsimälus, mis salvestab andmed püsivalt isegi siis, kui süsteem on välja lülitatud. Muudetud muutuja kahjustab süsteemi turvalise alglaadimisetappi ja ründaja võib pärast ärakasutamist saada püsiva juurdepääsu ohustatud süsteemidele, ütleb Alex Matrosov, Binarly asutaja ja tegevjuht.

"Põhimõtteliselt saab ründaja manipuleerida muutujatega operatsioonisüsteemi tasemelt," ütleb Matrosov.

Püsivara vead avavad rünnakutele ukse

Turvaline alglaadimine on enamikus arvutites ja serverites juurutatud süsteem, mis tagab seadmete õige käivitumise. Vastased saavad süsteemi üle kontrolli haarata, kui alglaadimisprotsessist kas mööda tehakse või nende kontrolli all. Nad võivad käivitada pahatahtlikku koodi enne operatsioonisüsteemi laadimist. Püsivara haavatavused on nagu ukse lahti jätmine – ründaja pääseb süsteemi sisselülitamisel juurdepääsu süsteemiressurssidele just siis, kui ta soovib, ütleb Matrosov.

"Püsivaraosa on oluline, kuna ründaja võib omandada väga-väga huvitavaid püsivusvõimalusi, nii et nad saavad seadmes pikka aega mängida, " ütleb Matrosov.

Vead on märkimisväärsed, kuna need mõjutavad ARM-arhitektuuril põhinevaid protsessoreid, mida kasutatakse personaalarvutites, serverites ja mobiilseadmetes. Alates x86 kiipidest on avastatud mitmeid turvaprobleeme Intel ja AMD, kuid Matrosov märkis, et see avalikustamine on varajane näitaja ARM-kiibi konstruktsioonides esinevate turvavigade kohta.

Matrosov ütleb, et püsivara arendajad peavad välja töötama turvalisusest lähtuva mõtteviisi. Paljud arvutid käivituvad tänapäeval UEFI foorumi spetsifikatsioonide põhjal, mis pakuvad tarkvara ja riistvara koostoimeid.

"Leidsime, et OpenSSL, mida kasutatakse UEFI püsivaras - see on ARM-i versioonis - on väga vananenud. Näiteks üks suuremaid TPM-i pakkujaid nimega Infineon kasutab kaheksa aastat vana OpenSSL-i versiooni,” räägib Matrosov.

Mõjutatud süsteemide käsitlemine

Lenovo ütles oma turvabülletäänis, et haavatavus mõjutas ThinkPad X13s sülearvuti BIOS-i. BIOS-i värskendus parandab vead.

Haavatavus mõjutab ka Microsofti Windows Dev Kit 2023, koodnimega Project Volterra, ütles Binarly uuringumärkuses. Project Volterra on mõeldud programmeerijatele Windows 11 operatsioonisüsteemi koodi kirjutamiseks ja testimiseks. Microsoft kasutab Project Volterra seadet tavapäraste x86 Windowsi arendajate meelitamiseks ARM-i tarkvara ökosüsteemi ning seadme väljalase oli eelmisel aastal Microsofti Buildi ja ARMi DevSummiti konverentside peamine teadaanne.

. Meltdown ja Spectre haavatavused mõjutas suuresti x86 kiipe serveri- ja personaalarvutite infrastruktuurides. Kuid avastamine haavatavused ARM-i alglaadimiskihis on eriti murettekitav, kuna arhitektuur juhib vähese energiatarbega mobiilset ökosüsteemi, mis hõlmab 5G nutitelefonid ja tugijaamad. Tugijaamad on üha enam ääreseadmete ja pilveinfrastruktuuride side keskmes. Ründajad võivad käituda nagu operaatorid ja neil on tugijaamades püsivus ja keegi ei saa sellest teada, ütleb Matrosov.

Ta ütleb, et süsteemiadministraatorid peavad seadma prioriteediks püsivara vigade parandamise, mõistma oma ettevõtte ohtu ja tegelema sellega kiiresti. Binaarsed pakkumised avatud lähtekoodiga tööriistad püsivara haavatavuste tuvastamiseks.

"Mitte igal ettevõttel pole oma seadmetele püsivara paranduste tarnimise eeskirju. Olen varem töötanud suurtes ettevõtetes ja enne oma ettevõtte asutamist ei olnud ühelgi neist – isegi neil riistvaraga seotud ettevõtetel – sisepoliitikat töötajate sülearvutite ja seadmete püsivara värskendamiseks. See ei ole õige,” ütleb Matrosov.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• Platoblockchain. Web3 metaversiooni intelligentsus. Täiustatud teadmised. Juurdepääs siia.
• Allikas: https://www.darkreading.com/dr-tech/firmware-vulnerability-in-chips-helps-hackers-take-control-of-systems