高通骁龙最新固件漏洞需关注

高通骁龙最新固件漏洞需关注

时间戳记：9年2023月6日下午41:XNUMX
高通 Snapdragon 中的最新固件缺陷需要关注 PlatoBlockchain 数据智能。垂直搜索。人工智能。

某安全公司牵头协同披露高通多个高危漏洞 Snapdragon的 芯片组。

这些漏洞是在统一可扩展固件接口 (UEFI) 固件参考代码中发现的，会影响使用 Qualcomm Snapdragon 芯片的基于 ARM 的笔记本电脑和设备， 根据 Binarly Research.

高通披露漏洞 5 月 XNUMX 日，以及可用补丁的链接。 联想也发布公告 和 BIOS 更新以解决受影响笔记本电脑中的缺陷。 但是，Binarly 指出，其中两个漏洞仍未修复。

如果被利用，这些硬件漏洞允许攻击者通过修改非易失性存储器中的变量来获得对系统的控制权，该存储器永久存储数据，即使在系统关闭时也是如此。 Binarly 的创始人兼首席执行官亚历克斯·马特罗索夫 (Alex Matrosov) 表示，修改后的变量将危及系统的安全启动阶段，一旦漏洞利用到位，攻击者就可以获得对受损系统的持久访问权。

“基本上，攻击者可以从操作系统级别操纵变量，”Matrosov 说。

固件缺陷为攻击打开了大门

安全启动是部署在大多数个人电脑和服务器中以确保设备正常启动的系统。 如果引导过程被绕​​过或在他们的控制下，对手就可以控制系统。 他们可以在加载操作系统之前执行恶意代码。 Matrosov 说，固件漏洞就像敞开一扇门——攻击者可以在系统打开时随意访问系统资源。

“固件部分很重要，因为攻击者可以获得非常非常有趣的持久性功能，因此他们可以在设备上长期使用，”Matrosov 说。

这些缺陷之所以引人注目，是因为它们会影响基于 ARM 架构的处理器，这些处理器用于 PC、服务器和移动设备。 在 x86 芯片上发现了一些安全问题 英特尔 和 AMD公司，但 Matrosov 指出，这一披露是 ARM 芯片设计中存在安全漏洞的早期迹象。

Matrosov 说，固件开发人员需要培养安全第一的心态。 如今，许多 PC 都是根据 UEFI 论坛提供的规范启动的，该论坛提供了软件和硬件交互的挂钩。

“我们发现在 UEFI 固件中使用的 OpenSSL——它在 ARM 版本中——非常过时。 例如，名为英飞凌的主要 TPM 供应商之一，他们使用了八年前的 OpenSSL 版本，”Matrosov 说。

解决受影响的系统

联想在其安全公告中表示，该漏洞影响了 ThinkPad X13s 笔记本电脑的 BIOS。 BIOS 更新修补了这些缺陷。

Binarly 在一份研究报告中表示，微软的 Windows Dev Kit 2023，代号为 Project Volterra，也受到该漏洞的影响。 Project Volterra 专为程序员编写和测试 Windows 11 操作系统代码而设计。 微软正在使用 Project Volterra 设备来吸引传统的 x86 Windows 开发人员进入 ARM 软件生态系统，该设备的发布是去年微软 Build 和 ARM 的 DevSummit 会议上的顶级公告。

Meltdown 和 Spectre 漏洞 很大程度上影响了服务器和 PC 基础设施中的 x86 芯片。 但发现 ARM 引导层中的漏洞 尤其令人担忧，因为该架构正在推动低功耗移动生态系统，其中包括 5G 智能手机和基站. 基站越来越成为边缘设备和云基础设施的通信中心。 Matrosov 说，攻击者的行为可能像操作员一样，他们会在基站驻留，没有人会知道。

他说，系统管理员需要了解公司面临的风险并迅速解决，从而确定修补固件缺陷的优先​​顺序。 二元报价 检测固件漏洞的开源工具.

“并非每家公司都有为其设备提供固件修复的政策。 我过去曾在大公司工作过，在我创办自己的公司之前，没有一家公司——甚至是这些与硬件相关的公司——有更新员工笔记本电脑和设备固件的内部政策。 这是不对的，”Matrosov 说。

时间戳记：

更多来自 暗读