Хакери могли зламати компʼютер ще до увімкнення: вразливість існувала 16 років
У програмі, яка вмикає компʼютер ще до операційної системи, знайшли серйозну проблему з безпекою. Через неї зловмисник може запустити на сервері свій код ще до того, як завантажиться сама система. Найнеприємніше, що ця помилка ховалася у коді близько 16 років. Про неї повідомило видання Ars Technica.
Як вразливість UEFI дозволяла зламувати компʼютери 16 років
- Коли ви вмикаєте компʼютер, спочатку запускається не Windows чи Linux, а невелика програма-прошивка під назвою UEFI.
- Саме вона готує залізо до роботи й передає керування системі. Якщо зламати її, то все, що завантажиться далі, уже під контролем зловмисника.
- Більше того, кібератака відбувається до Secure Boot, тобто до захисту, який мав би перевіряти, що нічого стороннього не запускається.
- Проблема в коді під назвою EDK II, тобто у спільній основі, на якій багато виробників будують свою прошивку, зокрема AMI, Insyde, Phoenix і Microsoft.
- Помилка сидить у тій частині, що відповідає за завантаження по мережі. Так роблять, наприклад, на серверах, коли система підтягується не з диска, а з мережі.
- Прошивка приймає службові мережеві повідомлення й складає їх у памʼять, у невелику «коробку» фіксованого розміру. Але вона погано перевіряє, чи влізе повідомлення.
- Якщо надіслати завелике, воно переповнює цю коробку й затирає сусідні дані. Через таку щілину хакер і може протягнути свій код. Помилку, до речі, додали ще у 2010 році.
Підписуйтеся на наші соцмережі
Наскільки небезпечна вразливість UEFI
Щоб почати атаку, достатньо надіслати серверу одне спеціально підготовлене повідомлення саме тоді, коли він завантажується по мережі. Пароль чи попередній доступ для цього не потрібні.
Щоправда, зловмиснику треба бути поруч у мережі в цей момент, тож, за оцінкою компаній Red Hat і SUSE, загроза радше для того, хто вже має доступ до внутрішньої мережі, а не для будь-кого з інтернету.
Найчастіше результат такий: сервер просто зависає під час увімкнення. Запустити повноцінний код складніше, бо треба точно знати версію прошивки. Але якщо це вдасться, зловмисник може залишити собі «закладку», яка працюватиме при кожному запуску.
Фахівець HD Moore з компанії Dragos додав, що за короткого доступу до мережі так теоретично можна навіть обійти шифрування диска.
Небезпеку оцінили у 9,5 бала з 10. Під загрозою насамперед сервери й обладнання датацентрів, які завантажуються по мережі, бо саме у них ця функція увімкнена за замовчуванням. Знайшли проблему Алекс Матросов з компанії Anthropic і Ден Голмс-Мітра з Google.
Що робити із вразливістю UEFI
- Виправлення вже є: його додали в основну версію коду 15 жовтня. Але готового оновлення прошивки для звичайних серверів поки немає, тож власникам доведеться чекати, доки його випустять виробники.
- Окремого «швидкого рішення» немає, проте якщо завантаження по мережі вам не потрібне, цю функцію можна вимкнути, і ризик зменшиться. Поки що про реальні атаки ніхто не повідомляв.
- Проблеми, коли діра вже відома, а оновлення ще немає, трапляються дедалі частіше.
- Раніше Speka розбирала схожу історію з вразливістю PHP2Shell, а також показувала на прикладі однієї атаки, як старий сервер і один акаунт відкривають доступ до цілої компанії.
- До слова, сама компанія Anthropic, чий фахівець знайшов цей баг, нещодавно потрапила в новини, коли ШІ-агенти стартапу Cathedral зайшли в її внутрішні системи.