Recientemente se han identificado vulnerabilidades en el código de la Interfaz Unificada y Extensible de Firmware (UEFI) de varios proveedores independientes de firmware/BIOS (IBVs). Estas deficiencias pueden ser explotadas por actores de amenazas para entregar un payload malicioso y eludir tecnologías de seguridad como Secure Boot, Intel Boot Guard, y otras diseñadas para garantizar la integridad del sistema.
Vulnerabilidades denominadas LogoFAIL
Las vulnerabilidades han sido bautizadas por la compañía de seguridad Binarly como «LogoFAIL». Estas deficiencias pueden ser utilizadas para sortear soluciones de seguridad y facilitar la entrega de malware persistente a sistemas comprometidos durante la fase de arranque, al inyectar un archivo de imagen de logo malicioso en la partición del sistema EFI.
Alcance de las vulnerabilidades
Estas vulnerabilidades afectan tanto a dispositivos basados en x86 como aquellos basados en ARM, su alcance es específico de UEFI e IBV. Entre las vulnerabilidades detectadas se encuentran un buffer overflow basado en la pila y una lectura fuera de límites, cuyos detalles se espera que sean revelados más adelante esta semana durante la conferencia Black Hat Europe.
Riesgos asociados
Estas vulnerabilidades se activan al analizar las imágenes inyectadas, provocando la ejecución de payloads que pueden secuestrar el flujo y evadir los mecanismos de seguridad. «Este vector de ataque podría proporcionar a un atacante una ventaja al sortear la mayoría de las soluciones de seguridad de endpoints y desplegar un bootkit de firmware sigiloso que persistirá en una partición ESP o cápsula de firmware con una imagen de logo modificada».
Afectación de los principales IBVs
Al aprovechar estas vulnerabilidades, los actores de amenazas podrían obtener un control arraigado sobre los hosts afectados, lo que resultaría en la implementación de malware persistente difícil de detectar. Estas deficiencias afectan a todos los principales IBVs, como AMI, Insyde y Phoenix, así como a cientos de dispositivos de consumo y empresariales de fabricantes como Intel, Acer y Lenovo.
Contexto histórico
Esta divulgación marca la primera demostración pública de superficies de ataque relacionadas con los analizadores de imágenes gráficas integrados en el firmware del sistema UEFI desde 2009, cuando los investigadores Rafal Wojtczuk y Alexander Tereshkin presentaron cómo se podría explotar un error en el analizador de imágenes BMP para lograr la persistencia del malware.
Valoración sobre la seguridad
«La cantidad y el tipo de vulnerabilidades de seguridad descubiertas evidencian la madurez del producto en cuanto a seguridad y la calidad del código en general en el código de referencia de IBVs».