Les vulnérabilités des logiciels de bas niveau qui s'exécutent avant le démarrage du système d'exploitation ne se trouvent pas uniquement dans les
iPhones . La semaine dernière, des vulnérabilités dans le micrologiciel de deux appareils populaires ont été
corrigées - dans le jeu TV et le boîtier décodeur multimédia Nvidia Shield TV et dans les ordinateurs de la famille Intel NUC. Deux vulnérabilités dans Intel NUC (cote CVSS 7.5, plus sur
le site Web du vendeur ) fournissent une élévation de privilèges. Les deux problèmes sont locaux, c'est-à -dire que leur fonctionnement nécessite un accès physique à l'appareil (et des droits d'utilisateur sur le système). Ils affectent les ordinateurs Intel de huitième génération.
Dans Nvidia Shield, deux problèmes ont été détectés dans le chargeur de démarrage (
bulletin du fabricant). Dans un cas, l'opération avec l'exécution de code arbitraire est possible. La deuxième vulnérabilité vous permet de remplacer l'image de démarrage, obtenant ainsi un contrôle total sur l'appareil. Les deux vulnérabilités sont fermées dans le firmware de Shield version 8.0.1.
Portes dérobées matérielles, réelles et imaginaires
En octobre de l'année dernière, Bloomberg Businessweek a publié
un article décrivant un certain implant sur les cartes mères SuperMicro, avec lequel la gestion de serveur à distance et le vol de données sont possibles. Les sociétés mentionnées dans l'article (SuperMicro lui-même, ainsi qu'Apple et Amazon) ont nié le fait de la détection d'implant elle-même, ainsi que les événements mentionnés dans le matériel. Ce matériel de Bloomberg est devenu un exemple classique d'une mauvaise enquête dans le domaine de la sécurité de l'information: sources anonymes et un minimum de détails techniques.
Le fait que cet incident ait été très probablement inventé ne signifie pas qu'il n'y a aucune possibilité théorique de mener de telles attaques. La semaine dernière, le magazine Wired a
parlé des recherches de la spécialiste Monta Elkins. Elkins a acheté le pare-feu Cisco ASA 5505 (le modèle a été choisi uniquement pour des raisons de prix minimum) et a soudé la puce ATtiny85 à la carte de l'appareil. Le coût de la puce est de deux dollars, et un total de 200 a été dépensé pour la modification, la majeure partie a été dépensée pour la station de soudage. La puce a pu être configurée de sorte qu'au premier démarrage après avoir allumé l'appareil, ses paramètres changent et ouvrent l'accès à distance.
En décembre 2018, une preuve de concept similaire a été révélée par le chercheur Trammell Hudson. Une description détaillée de PoC et un commentaire détaillé sur l'article Bloomberg sont disponibles
ici . Hudson a implémenté un scénario plus proche de celui décrit en termes généraux dans l'article: l'implant est installé sur la carte mère du serveur SuperMicro et communique avec le contrôleur de gestion de la carte de base. La vidéo ci-dessous montre comment l'implant communique avec BMC et exécute du code arbitraire. Mais dans ce cas, c'est vraiment une démonstration, sans aucune conséquence pour le propriétaire potentiel de la planche, et même en travaillant une fois sur deux (ou, selon Hudson lui-même, «plutôt 1 fois sur 80»).
Hudson arrive aux conclusions suivantes: oui, l'introduction d'une porte dérobée matérielle sur du matériel de serveur moderne est théoriquement possible. Non, cela ne confirme pas l'histoire de Bloomberg. Les deux chercheurs admettent que les attaques logicielles offrent les mêmes capacités que les portes dérobées matérielles, mais avec beaucoup moins de travail. Le seul avantage théorique de la porte dérobée est la furtivité, et ici Hudson offre la transparence de développement maximale comme solution: si les diagrammes des appareils, la liste des pièces et le code du contrôleur sont publiés, il sera plus difficile d'implémenter une porte dérobée au niveau du fer. Dans tous les cas, la vérification de la conformité du matériel avec les promesses du fournisseur est désormais aussi difficile que l'implémentation de fonctionnalités indésirables.
Pendant longtemps, nous n'avons pas eu de vulnérabilités dans les routeurs. Les spécialistes de Fortinet ont constaté (
actualité ,
recherche ) un problème grave dans les appareils D-Link (modèles DIR-655, DIR-866L, DIR-652, DHP-1565). Une erreur dans le code du routeur entraîne l'exécution de commandes via l'interface Web sans autorisation. Le fabricant a refusé de publier la mise à jour et de fermer la vulnérabilité: l'approche D-Link implique la publication de correctifs uniquement pendant un certain temps après la sortie de l'appareil. Tous les modèles concernés (DIR-655 sorti il ​​y a environ 10 ans) sont considérés comme obsolètes.
Avertissement: Les opinions exprimées dans ce résumé peuvent ne pas coïncider avec la position officielle de Kaspersky Lab. Chers rédacteurs recommandent généralement de traiter toute opinion avec un scepticisme sain.