Defend what you create

その他

  • free.drweb.co.jp: 無料ユーティリティ、プラグイン、インフォーマー
  • av-desk.com: Dr.Web AV-Deskサービスプロバイダーのためのインターネットサービス
  • curenet.drweb.co.jp:ネットワーク修復ユーティリティDr.Web CureNet!
閉じる

マイライブラリ
マイライブラリ

+ マイライブラリに追加

電話
24時間体制サポート | テクニカルサポート利用方法

お問い合わせ履歴

電話する

+7 (495) 789-45-86

Profile

ニュース一覧に戻る

コラム : 次世代テクノロジー「UEFI BIOS」で見つかった脆弱性

2018年3月20日

株式会社Doctor Web Pacific


最新のPCを使用している場合は、おそらくUEFIについて聞いたことがあると思います。もし聞いたことがなかったとしても、その技術はあなたのコンピュータで使用されている可能性がとても高いです。ではUEFIとは何でしょうか?犯罪者はどのように利用するのでしょうか?

UEFI(Unified Extensible Firmware Interface)は2005年に設計され、今では、BIOS(Basic Input Output System)に取って代わるものと考えられている次世代のBIOSです。PCの電源がオンになると、使用可能なハードウェアが検索され、検証後、オペレーティングシステムの起動プロセスを開始します。しかし、従来のBIOSとは異なり、UEFI BIOSは幅広い機能を備えています。

たとえば、セキュアブートでは、UEFI互換ファームウェアを利用し、デジタル署名を使用してシステムコンポーネント(ブートローダ、ドライバ、およびUEFIオプションROM)の有効性を検証します。署名が存在しないか無効な場合、問題のコンポーネントはロードされません。

セキュアブートは、システム内で有効な署名を持たない悪意のあるコンポーネントが使用される可能性を排除するために設計されましたが、その方法は紙の上でしか成立せず、ブートローダの攻撃ベクトルが発見されました。

Dmytro Oleksiuk は Lenovo ThinkPad T450のファームウェアを調べ 、重大なUEFI脆弱性を発見しました。これにより、ハイパーバイザ・モードやゼロ・プロテクション・リングよりも高い権限と、全記憶に対するアクセス権を提供するシステム管理モード (SMM)でコードを実行できます。 任意のコードをSMMで実行して、フラッシュ書き込み保護を無効にし、セキュアブートチェックをトグルかハイパーバイザ制限をバイパスするために使用するファームウェアを変更できます。

この問題は当初、SystemSmmRuntimeRt UEFIドライバのコード内に存在する脆弱性によって生じました。 Lenovoや他のメーカーがIntel 8シリーズチップセットのリファレンスコードからコピーしたものです。 ただし、この問題は、2014年の元のインテルのファームウェアで解決されたことに注意してください。Lenovoデバイスに加えて、この問題はHP PavilionラップトップとGigabyteマザーボードにも影響します。Lenovoによると、この脆弱なファームウェアは、3大BIOSメーカーのいずれかによって提供されました(コードの実際の供給元は明らかにされていません)。

作業の概念実証はされたエクスプロイト設計され SystemSmmRuntimeRtドライバのためにX220から始まるすべてのレノボのThinkPadのラップトップ上で使用することができます。この脆弱性の悪用は、UEFIシェルから実行されるUEFIアプリケーションとして設計されています。実行中のオペレーティングシステムからも悪用できます(管理者権限が必要です)。

より多くのコードがあれば、より多くの脆弱性が発見される - これは物事の仕組みです。

SMM Incursion Attackから始めましょう。この攻撃は年代によっては知られているので、「現代」を引用符で囲んでいます。 2008年にBIOS問題として最初に報告されましたが、2015年にCorey KallenbergとXeno Kovahによって再発見されました。 SMIハンドラがSMRAM外部からのコードを使用する場合、物理メモリの書き込み権限を持つ攻撃者は、コードを置き換えてSMMで実行することができます。 UEFI開発者はEFIランタイムサービスを本当に楽しんでいたため、SMIハンドラを使用して簡単にサービスを呼び出すことができます(通常はGetVariable、SetVariable、ResetSystemルーチンを使用していました)。 この脆弱性の影響を受けるデバイスの数は非常に多く、影響を受けなかったものを一覧にする方が簡単なほどでした。 UEFIが2015年5月または6月までに構築されたものである場合、SMM攻撃で悪用される可能性がある脆弱性が2つあることがわかっています。この種の問題をシステムに解決することは、以前はこのような動作がセキュリティリスクになる(実際にはサービスに戸惑うほど愚かである可能性が高い者)と考えられてさえありませんでしたし、単純なIBVコーダーにはそのようにするのは良い考えではないと議論されてこなかったため、今でもアップデートされた実行ドライバのいくつかは脆弱です。したがって、見通しはむしろ厳しい状況です。

多数の攻撃オプションがあり、すべてをAVT形式で記述することはできません。 さらに、明確な説明ができるようにするには、ほとんどすべての用語について詳細に説明しなくてはいけないのです。

#technologies #exploit #vulnerability

Tell us what you think

You will be awarded one Dr.Webling per comment. To ask Doctor Web’s site administration about a news item, enter @admin at the beginning of your comment. If your question is for the author of one of the comments, put @ before their names.


Other comments

ロシアに本社を置く、『Dr.Webアンチウイルスソフトウェア』のデベロッパーです。

1992年に製品の開発をスタートしました。

Dr.Webは世界200ヶ国以上のユーザーに利用されています。

2007 年、アンチウウイルスサービス(SaaS)の提供が開始しました。

24時間体制サポート

© Doctor Web
2003 — 2019

Doctor Webは、ロシアに本社を置く、『Dr.Webアンチウイルスソフトウェア』のデベロッパーです。その製品の開発は1992年に始まりました。

株式会社Doctor Web Pacific 〒105-0003 東京都港区西新橋1-14-10 西新橋スタービル 2F