Investigadores de Quarkslab han identificado hasta nueve fallos en la implementación open-source de UEFI, EDKII. Estas vulnerabilidades afectan al stack TCP/IP y pueden ser explotadas durante el arranque de equipos a través de la red.
Riesgos asociados
Atacantes en la misma red local o, en ciertas situaciones, desde una red remota, podrían extraer información confidencial, iniciar una denegación de servicio, modificar DNS o ejecutar código remoto.
Contexto técnico
EDKII es una implementación de UEFI por parte de TianoCore, una comunidad open-source. Esta se usa en el firmware de al menos 23 proveedores, según la lista publicada por CERT/CC estadounidense.
Proceso de arranque
El proceso de arranque a través de la red se utiliza sobre todo en centros de datos, servidores y entornos de computación de alto rendimiento. El entorno de ejecución pre-arranque (PXE) permite a los equipos el arranque desde la red.
Los investigadores de Quarkslab han denominado PixieFAIL al conjunto de vulnerabilidades encontradas. Para que sean explotadas, los equipos vulnerables tienen que tener la configuración de arranque PXE activada.
Detalles técnicos
Quarkslab da en su publicación una explicación detallada de cada una de las vulnerabilidades encontradas. Muchos de los problemas se producen por una falta de verificación de integridad (sanity checks) en la interacción entre cliente y servidor durante el proceso de arranque por red.
Recomendaciones de mitigación
- Seguir las instrucciones de los proveedores para actualizar a versiones de firmware no vulnerables
- Reforzar la seguridad de la red
- Utilizar protocolos seguros de entornos de arranque en red, como UEFI HTTPS Boot
- Verificar que se hayan implementado las protecciones para solventar la vulnerabilidad LogoFAIL