Vulnerabilidades críticas do PixieFail levam a ataques de RCE e DoS

15 de fevereiro de 2024 - 📖 3 min

Vá direto para um resumo gerado por IA desta postagem do blog

Um conjunto de vulnerabilidades críticas de segurança foi identificado na pilha de protocolos de rede TCP/IP de uma implementação de referência de código aberto da especificação Unified Extensible Firmware Interface (UEFI). Denominadas PixieFail pela Quarkslab, essas nove vulnerabilidades no TianoCore EFI Development Kit II (EDK II) afetam o processo de inicialização pela rede, essencial para carregar o sistema operacional a partir da rede. Elas poderiam ser exploradas por invasores, levando à execução remota de código, ataques de negação de serviço (DoS), envenenamento de cache de DNS e o vazamento não autorizado de dados confidenciais.

Nove vulnerabilidades do PixieFail na UEFI

O impacto dessas vulnerabilidades se estende ao firmware UEFI desenvolvido por grandes empresas, como AMI, Intel, Insyde e Phoenix Technologies. O EDK II incorpora sua própria pilha TCP/IP, conhecida como NetworkPkg, facilitando as funcionalidades de rede durante o estágio inicial do Preboot eXecution Environment (PXE). O PXE permite que os dispositivos inicializem a partir de sua placa de interface de rede (NIC) e possibilita a configuração remota e a inicialização de computadores em rede que não possuem um sistema operacional em execução.

Essas vulnerabilidades identificadas no NetworkPkg do EDK II abrangem uma variedade de falhas, incluindo o tratamento incorreto de mensagens de anúncio do DHCPv6, causando subfluxo de inteiros e estouros de buffer decorrentes das opções de ID do servidor. Essas explorações ocorrem antes do carregamento do sistema operacional, contornando as medidas de segurança tradicionais.

A lista de todas as vulnerabilidades do PixieFail inclui:

CVE-2023-45229 (pontuação CVSS: 6,5) – Subfluxo de inteiro no processamento de mensagens de anúncio do DHCPv6
CVE-2023-45230 (pontuação CVSS: 8,3) – Estouro de buffer no cliente DHCPv6 por meio da opção Server ID
CVE-2023-45231 (pontuação CVSS: 6,5) – Leitura fora dos limites no tratamento da mensagem de redirecionamento ND
CVE-2023-45232 (pontuação CVSS: 7,5) – Loop infinito na análise de opções desconhecidas
CVE-2023-45233 (pontuação CVSS: 7,5) – Loop infinito na análise da opção PadN
CVE-2023-45234 (pontuação CVSS: 8,3) – Estouro de buffer no processamento da opção Servidores DNS
CVE-2023-45235 (pontuação CVSS: 8,3) – Estouro de buffer no tratamento da opção “ID do servidor”
CVE-2023-45236 (pontuação CVSS: 5,8) – Números de sequência iniciais TCP previsíveis
CVE-2023-45237 (pontuação CVSS: 5,3) – Uso de um gerador de números pseudoaleatórios fraco

Conclusão

As vulnerabilidades do PixieFail destacam a necessidade de medidas de segurança robustas nas configurações de inicialização pela rede. De acordo com o Centro de Coordenação CERT (CERT/CC), o impacto e a explorabilidade dessas vulnerabilidades variam dependendo da versão específica do firmware e da configuração padrão de inicialização PXE. O PXE, essencial para a inicialização pela rede em sistemas corporativos, é utilizado tanto em ambientes de servidor quanto de desktop.

Os invasores precisam estar na mesma rede que os dispositivos-alvo para explorar as vulnerabilidades do PixieFail. A Quarkslab também disponibilizou exploits de prova de conceito (PoC) para ajudar os administradores de rede a identificar dispositivos vulneráveis.

As fontes deste artigo incluem uma matéria do Eclypsium.

Resumo