المصدر -
كتب_عبدالعزيز خلف
اكتشف وحلل الباحثون لدى شركة "إسيت" ثلاث نقاط ضعف تؤثر على عدد مختلف من أجهزة كمبيوتر "لينوفو" المحمولة. سيسمح استغلال هذه الثغرات للمهاجمين بنشر برامج UEFI الضارة وتنفيذها بنجاح إما في شكل غرسات فلاش SPI مثل LoJax أو ESP المزروعة مثل أحدث اكتشاف لدينا ESPecter. أبلغت "إسيت" عن جميع نقاط الضعف التي تم اكتشافها في "لينوفو" في أكتوبر 2021. وإجمالاً، تحتوي قائمة الأجهزة المتأثرة على أكثر من مائة طراز مختلف من أجهزة الكمبيوتر المحمول مع ملايين المستخدمين حول العالم.
وصرح "مارتن سمولار" الباحث في شركة "إسيت" و مكتشف نقاط الضعف، وقال: "تهديدات UEFI يمكن أن تكون متخفية وخطيرة للغاية. يتم تنفيذها في وقت مبكر من عملية التمهي، قبل نقل التحكم إلى نظام التشغيل، مما يعني أنه يمكنهم تجاوز جميع الإجراءات الأمنية وعمليات التخفيف تقريبًا والتي يمكن أن تمنع تنفيذ حمولات نظام التشغيل الخاصة بهم. إن اكتشافنا لـ UEFI من خلال ما يسمى بالأبواب الخلفية "الآمنة" يوضح بعض الحالات، قد لا يكون نشر تهديدات UEFI بالصعوبة المتوقعة، والكمية الأكبر من تهديدات UEFI الواقعية تم اكتشافها في السنوات الأخيرة تشير إلى أن الخصوم على علم بذلك".
أول ثغرتين من هذه الثغرات الأمنية - CVE-2021-3970 ، CVE-2021-3971 - ربما يُطلق عليهما بشكل أكثر دقة الأبواب الخلفية "الآمنة" المضمنة في البرامج الثابتة UEFI لأن هذا هو الاسم المعطى لأجهزة Lenovo UEFI التي تنفذ أحدها ( CVE-2021-3971): SecureBackDoor و SecureBackDoorPeim. يمكن تنشيط هذه الأبواب الخلفية المدمجة لتعطيل حماية فلاش SPI (BIOS Control Register bits وسجلات نطاق الحماية) أو ميزة التمهيد الآمن UEFI من عملية وضع المستخدم المميزة أثناء وقت تفعيل نظام التشغيل.
بالإضافة إلى ذلك، أثناء التحقيق في ثنائيات الأبواب الخلفية "الآمنة"، اكتشفنا ثغرة ثالثة: تلف ذاكرة SMM داخل وظيفة معالج SW SMI (CVE-2021-3972). تسمح هذه الثغرة الأمنية بالقراءة / الكتابة التعسفية من/إلى SMRAM، مما قد يؤدي إلى تنفيذ تعليمات برمجية ضارة بامتيازات SMM وربما يؤدي إلى نشر فلاش SPI.
توفر خدمات التمهيد ووقت تشغيل UEFI الوظائف الأساسية وهياكل البيانات اللازمة واقراص التخزين الصلبة والتطبيقات للقيام بعملهم، مثل تثبيت البروتوكولات، وتحديد موقع البروتوكولات الحالية، وتخصيص الذاكرة، ومعالجة متغير UEFI... إلخ. تستخدم برامج تشغيل وتطبيقات التمهيد UEFI البروتوكولات على نطاق واسع . متغيرات UEFI هي آلية تخزين خاصة للبرامج الثابتة تستخدمها وحدات UEFI لتخزين بيانات التكوين المتنوعة، بما في ذلك تكوين التمهيد.
ومن ناحية أخرى، SMM هو وضع تنفيذ ذو امتيازات عالية لمعالجات x86. تتم كتابة الكود الخاص به في سياق البرنامج الثابت للنظام وعادةً ما يستخدم في مهام مختلفة بما في ذلك إدارة الطاقة المتقدمة وتنفيذ التعليمات البرمجية الخاصة بـ OEM وتحديثات البرامج الثابتة الآمنة.
أضاف "سمولار": "جميع تهديدات UEFI الواقعية التي تم اكتشافها في السنوات الماضية - LoJax و MosaicRegressor و MoonBounce و ESPecter و FinSpy - تحتاج لتجاوز أو تعطيل آليات الأمن بطريقة ما ليتم نشرها وتنفيذها". تنصح أبحاث "إسيت" بشدة جميع مالكي أجهزة الكمبيوتر المحمولة من "لينوفو" بالاطلاع على قائمة الأجهزة المتأثرة وتحديث البرامج الثابتة الخاصة بهم من خلال اتباع تعليمات الشركة المصنعة.
بالنسبة لأولئك الذين يستخدمون أجهزة دعم نهاية التطوير المتأثرة بـ UEFI SecureBootBackdoor (CVE-2021-3970) ، بدون أي إصلاحات متاحة: إحدى الطرق لمساعدتك على الحماية من التعديل غير المرغوب فيه لحالة التمهيد الآمن لـ UEFI هي استخدام حل تشفير كامل للقرص لـ TPM قادر على جعل بيانات القرص غير قابلة للوصول إذا تغير تكوين التمهيد الآمن لـ UEFI.
اكتشف وحلل الباحثون لدى شركة "إسيت" ثلاث نقاط ضعف تؤثر على عدد مختلف من أجهزة كمبيوتر "لينوفو" المحمولة. سيسمح استغلال هذه الثغرات للمهاجمين بنشر برامج UEFI الضارة وتنفيذها بنجاح إما في شكل غرسات فلاش SPI مثل LoJax أو ESP المزروعة مثل أحدث اكتشاف لدينا ESPecter. أبلغت "إسيت" عن جميع نقاط الضعف التي تم اكتشافها في "لينوفو" في أكتوبر 2021. وإجمالاً، تحتوي قائمة الأجهزة المتأثرة على أكثر من مائة طراز مختلف من أجهزة الكمبيوتر المحمول مع ملايين المستخدمين حول العالم.
وصرح "مارتن سمولار" الباحث في شركة "إسيت" و مكتشف نقاط الضعف، وقال: "تهديدات UEFI يمكن أن تكون متخفية وخطيرة للغاية. يتم تنفيذها في وقت مبكر من عملية التمهي، قبل نقل التحكم إلى نظام التشغيل، مما يعني أنه يمكنهم تجاوز جميع الإجراءات الأمنية وعمليات التخفيف تقريبًا والتي يمكن أن تمنع تنفيذ حمولات نظام التشغيل الخاصة بهم. إن اكتشافنا لـ UEFI من خلال ما يسمى بالأبواب الخلفية "الآمنة" يوضح بعض الحالات، قد لا يكون نشر تهديدات UEFI بالصعوبة المتوقعة، والكمية الأكبر من تهديدات UEFI الواقعية تم اكتشافها في السنوات الأخيرة تشير إلى أن الخصوم على علم بذلك".
أول ثغرتين من هذه الثغرات الأمنية - CVE-2021-3970 ، CVE-2021-3971 - ربما يُطلق عليهما بشكل أكثر دقة الأبواب الخلفية "الآمنة" المضمنة في البرامج الثابتة UEFI لأن هذا هو الاسم المعطى لأجهزة Lenovo UEFI التي تنفذ أحدها ( CVE-2021-3971): SecureBackDoor و SecureBackDoorPeim. يمكن تنشيط هذه الأبواب الخلفية المدمجة لتعطيل حماية فلاش SPI (BIOS Control Register bits وسجلات نطاق الحماية) أو ميزة التمهيد الآمن UEFI من عملية وضع المستخدم المميزة أثناء وقت تفعيل نظام التشغيل.
بالإضافة إلى ذلك، أثناء التحقيق في ثنائيات الأبواب الخلفية "الآمنة"، اكتشفنا ثغرة ثالثة: تلف ذاكرة SMM داخل وظيفة معالج SW SMI (CVE-2021-3972). تسمح هذه الثغرة الأمنية بالقراءة / الكتابة التعسفية من/إلى SMRAM، مما قد يؤدي إلى تنفيذ تعليمات برمجية ضارة بامتيازات SMM وربما يؤدي إلى نشر فلاش SPI.
توفر خدمات التمهيد ووقت تشغيل UEFI الوظائف الأساسية وهياكل البيانات اللازمة واقراص التخزين الصلبة والتطبيقات للقيام بعملهم، مثل تثبيت البروتوكولات، وتحديد موقع البروتوكولات الحالية، وتخصيص الذاكرة، ومعالجة متغير UEFI... إلخ. تستخدم برامج تشغيل وتطبيقات التمهيد UEFI البروتوكولات على نطاق واسع . متغيرات UEFI هي آلية تخزين خاصة للبرامج الثابتة تستخدمها وحدات UEFI لتخزين بيانات التكوين المتنوعة، بما في ذلك تكوين التمهيد.
ومن ناحية أخرى، SMM هو وضع تنفيذ ذو امتيازات عالية لمعالجات x86. تتم كتابة الكود الخاص به في سياق البرنامج الثابت للنظام وعادةً ما يستخدم في مهام مختلفة بما في ذلك إدارة الطاقة المتقدمة وتنفيذ التعليمات البرمجية الخاصة بـ OEM وتحديثات البرامج الثابتة الآمنة.
أضاف "سمولار": "جميع تهديدات UEFI الواقعية التي تم اكتشافها في السنوات الماضية - LoJax و MosaicRegressor و MoonBounce و ESPecter و FinSpy - تحتاج لتجاوز أو تعطيل آليات الأمن بطريقة ما ليتم نشرها وتنفيذها". تنصح أبحاث "إسيت" بشدة جميع مالكي أجهزة الكمبيوتر المحمولة من "لينوفو" بالاطلاع على قائمة الأجهزة المتأثرة وتحديث البرامج الثابتة الخاصة بهم من خلال اتباع تعليمات الشركة المصنعة.
بالنسبة لأولئك الذين يستخدمون أجهزة دعم نهاية التطوير المتأثرة بـ UEFI SecureBootBackdoor (CVE-2021-3970) ، بدون أي إصلاحات متاحة: إحدى الطرق لمساعدتك على الحماية من التعديل غير المرغوب فيه لحالة التمهيد الآمن لـ UEFI هي استخدام حل تشفير كامل للقرص لـ TPM قادر على جعل بيانات القرص غير قابلة للوصول إذا تغير تكوين التمهيد الآمن لـ UEFI.
