UEFI-Versagen: Was man über LogoFAIL-Angriffe wissen sollte

Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags

Mehrere UEFI-Schwachstellen können zu Linux-, Windows- und Mac-Exploits führen
LogoFAIL bleibt bei Neuinstallationen des Betriebssystems bestehen
Außerdem werden die Risiken der Lieferkette auf die Hardware selbst ausgedehnt.

Sicherheitsforscher, die für ihre neugierigen und unkonventionellen Methoden bekannt sind, haben vor kurzem UEFI (Unified Extensible Firmware Interface) unter die Lupe genommen und dabei erhebliche Schwachstellen, die sogenannten LogoFAIL-Schwachstellen, aufgedeckt. Diese Experten, die Systeme untersuchen, um ungewöhnliche Wege zu finden, sie auszunutzen, haben entdeckt, dass UEFI, der moderne Ersatz für das traditionelle BIOS, anfällig für bestimmte Fehler ist - mit weitreichenden Auswirkungen.

Die Forscher fanden insbesondere heraus, dass die von verschiedenen Systemintegratoren und -anbietern im UEFI ihrer Motherboards verwendeten Bibliotheken anfällig sind. Diese Bibliotheken können durch speziell gestaltete Bilder, die während des Systemstarts angezeigt werden, wie z. B. Logos und Banner, manipuliert werden, um unvorhergesehene Vorgänge auszuführen. Durch diese Manipulation werden Sicherheitsfunktionen wie Secure Boot effektiv umgangen und das nachfolgende Betriebssystem in die Irre geführt.

Welche Gefahren gehen also von den LogoFAIL-Schwachstellen aus, und was bedeutet das für Sie?

Vorwissen

UEFI verstehen

UEFI steht für Unified Extensible Firmware Interface, eine erweiterte Version des alten BIOS. Es ist im Wesentlichen ein kompaktes Betriebssystem, das die Hardware-Initialisierung und die vorläufige Systemsicherheit verwaltet, bevor es die Kontrolle an das Hauptbetriebssystem abgibt. UEFI überwacht zahlreiche Funktionen, darunter CPU-Frequenz, Energie- und Wärmemanagement, Speichertaktung und Peripherieoperationen. Einige UEFI-Systeme bieten sogar Netzwerkkonnektivität für Firmware-Aktualisierungen, ohne dass ein Betriebssystem erforderlich ist.

Im Gegensatz zu BIOS bietet UEFI ein konsistentes visuelles Erlebnis, indem es beim Hochfahren ein Bild anzeigt, das während der gesamten UEFI-Initialisierung und in der Boot-Phase des Betriebssystems sichtbar bleibt. Dies unterscheidet sich von BIOS, bei dem normalerweise die Bildschirmauflösung geändert und der Textmodus zurückgesetzt wird, bevor die Treiber des Betriebssystems aktiviert werden.

Fuzzing

Fuzzing ist eine Testmethode, die von Entwicklern und IT-Experten eingesetzt wird, um die Robustheit von Software zu bewerten. Dabei wird eine große Anzahl unterschiedlicher und oft zufälliger Eingaben an alle möglichen Eingabefelder, Optionen und Parameter der Anwendung gesendet. Ziel ist es, sicherzustellen, dass die Anwendung auch bei unkonventionellen Eingabetypen stabil bleibt, z. B. bei der Eingabe von Buchstaben in numerische Felder oder beim Einfügen von UTF16-Zeichen in Felder, die für UTF8 ausgelegt sind, wodurch potenzielle Codeschwachstellen aufgedeckt werden.

LogoFAIL Schwachstellen

Binarly enthüllte diese Familie von Schwachstellen, die ursprünglich als potenzielles Zero-Day-Risiko angesehen wurde, kürzlich auf der BlackHat Europe und erregte damit die Aufmerksamkeit von Cybersecurity-Experten.

Sie werden als LogoFAIL-Schwachstellen bezeichnet und entstehen durch Schwachstellen in den in die UEFI-Systemfirmware eingebetteten Bibliotheken zur Bildanalyse. Diese Bibliotheken werden zur Anzeige von Logos während des Bootvorgangs oder im BIOS-Setup verwendet.

Zu den identifizierten Schwachstellen gehören Heap-basierte Pufferüberläufe und Out-of-Bounds-Reads. Diese Schwachstellen werden ausgelöst, wenn eine bösartige Logo-Image-Datei in die EFI-Systempartition eingeschleust wird, was zur Ausführung von Nutzdaten führt, die den Boot-Prozess entführen und Sicherheitsmechanismen wie Secure Boot und Intel Boot Guard umgehen können.

Um diese Schwachstellen auszunutzen, muss man trotz des Hypes überhaupt erst einmal Zugriff auf das System haben, und zwar mit der Berechtigung, auf die EFI-Partition und den nichtflüchtigen UEFI-Speicher (nvram) zu schreiben. Dem aufmerksamen Leser wird klar, dass, wenn Sie bereits über diese Zugriffsrechte verfügen, nicht unbedingt der LogoFAIL-Exploit selbst das Problem ist, sondern vielmehr die Hartnäckigkeit, die er anderen Schadprogrammen zum Missbrauch ermöglicht. Stellen Sie sich beispielsweise eine Ransomware vor, die selbst bei Versuchen, das System nach einem infrastrukturweiten Angriff wiederherzustellen, bestehen bleibt. Das würde die Wiederherstellungsvorgänge lähmen.

Erschwerend kommt hinzu, dass die Schwachstellen über mehrere Plattformen und Architekturen hinweg bestehen. Es sind sowohl x86- als auch ARM-basierte Geräte betroffen. BIOS-Anbieter wie AMI, Phoenix und andere erstellen Firmware, die von LogoFAIL betroffen ist. Dies wiederum führt dazu, dass Motherboards, die diese Firmware verwenden, ebenfalls davon betroffen sind - egal, ob es sich um Server- oder Consumer-Hardware handelt, da dieselben BIOS-Anbieter Software für alle diese Geräte bereitstellen. Hersteller wie Intel, Dell, Supermicro, Acer und viele andere sind daher betroffen.

Die Auswirkungen

Eine besonders ungeheuerliche Bedrohung ist die Ausführung von Code, bevor das Betriebssystem überhaupt mit dem Laden und dem Schutz vor Bedrohungen beginnen kann. Es spielt keine Rolle, ob Ihre Antivirenlösung alles erkennt, was geladen wird, wenn die Bedrohung bereits ausgeführt wird, wenn die Antivirensoftware zu arbeiten beginnt.

Wenn Sie die Kontrolle darüber haben, was so früh im Prozess gestartet wird, können Sie präemptive Software einsetzen, die verhindert, dass Schutzmaßnahmen auf Betriebssystemebene überhaupt gestartet werden - und damit die herkömmliche Endpunktsicherheit aushebelt.

In der Tat kann LogoFAIL zu Angriffen auf jedes Betriebssystem führen - Linux, Windows, Mac oder sogar esoterischere Systeme. Er überlebt sogar eine Neuinstallation des Betriebssystems, ist also sehr widerstandsfähig gegen Entfernungsversuche.

Es ist nicht das erste Mal, dass Firmware als hartnäckiger Angriffspunkt auf ein System in Betracht gezogen wird, denn der Festplatten-Firmware-Exploit vor einigen Jahren gezeigt hat, aber dies ist sicherlich die am wenigsten aufwändige Methode, um diesen Grad an Ausfallsicherheit zu erreichen.

Eine Bedrohung aus der realen Welt?

Ganz so weit ist es noch nicht. Es könnte sich eher um eine weitere knappe Entscheidung handeln als um das Weltuntergangsszenario, das überall auf den Nachrichtenseiten der Branche gezeichnet wurde.

Die betroffenen Hersteller müssen aktualisierte UEFI-Images herausgeben, so dass Firmware-Updates erforderlich sind, um die betroffenen Bibliotheken, die für das Problem verantwortlich sind, effektiv zu patchen, was das System jedoch vor dieser Bedrohung schützen wird.

Vorausgesetzt, jeder patcht jedes System, das heißt.

UEFI-Fuzzing

Die Forscher, die das Problem entdeckten, taten dies durch Fuzzing des UEFI-Codes, und sie räumen ein, dass das Risiko bisher nur theoretisch besteht.

Durch die Übergabe großer Datenmengen an die UEFI-Bibliotheken war es möglich, mehrere neue Wege zu finden, um diese Bibliotheken zum Absturz zu bringen und Pufferüberläufe, Out-of-bounds-Reads, Null-Pointer-Dereferenz und ähnliche Probleme auszulösen.

Verschiedene Hersteller liefern mit ihrer Firmware unterschiedliche Bibliotheken, die mehrere Bildformate unterstützen - JPEG, BMP und die älteren Formate PCX und Targa (TGA) werden unterstützt. Dies ermöglicht es den Hardwareherstellern, ihren Geräten eigene Bilder hinzuzufügen, um sie von anderen Anbietern zu unterscheiden.

Es stellt sich heraus, dass es kaum eine Validierung der Bilddaten gibt, bevor sie für die Anzeige geparst werden, so dass es relativ einfach ist, benutzerdefinierte Bilder zu erstellen, die diesen Mangel an Prüfungen ausnutzen, um die Abstürze nach Belieben auszulösen und das UEFI in einem vorhersehbaren Zustand zu belassen, in dem Code bereitgestellt und zur Ausführung gebracht werden kann.

Die Software-Lieferkette

Die Tatsache, dass ein bestimmtes Arbeitsvolumen potenziell von Schwachstellen in der gesamten Kette von Abhängigkeiten und Umgebungen betroffen ist - von Hardware-Firmware-Fehlern wie LogoFAIL bis hin zu Problemen auf Software-Ebene wie den KeePass-Schwachstellen- ist etwas, vor dem wir anscheinend die Augen verschließen, weil wir uns dessen entweder nicht bewusst sind oder nicht in der Lage sind, es wirksam zu verhindern. Aber das macht es nicht sicherer.

Zusammenfassung