Allvarlig säkerhetsbrist upptäckt i BIOS på många datorer

Varför körs kod i en bildfil? Sen, bilder i uppstarten, det känns väldigt 90-tal. I dag startar datorn så snabbt att det ändå inte skulle synas i mer än några millisekunder...

För att det kan göras utan att SecureBoot kan stoppa det. Det är själva nyheten.

Det var inte vad jag frågade. Jag frågade varför det körs kod i en bildfil. En bildvisningsfunktion borde inte köra kod i bildfilen för att visa den. Där är det nåt fundamentalt fel.

Extra spännande kombinerat med exempelvis MSIs läckta signeringsnycklar. Lite osäker på hur statusen är idag men likväl.

https://arstechnica.com/information-technology/2023/05/leak-o...

Som svar på frågan. Du behöver exekvera något på din dator, som gör att det installeras så att det körs vid boot.
Det vill säga, en binär som redan körs med högre behörigheter behöver en sårbarhet, som utnyttjas av att du exekverar något.

Detta är oerhört vanligt problem, t.ex varenda bundlad mjukvara för t.ex crap från tangentbordstillverkare som razer, logitech etc.
Eller touchpad-grejer från HP etc. är ofta skitdåligt underhållna processer som körs med högre behörigheter.
Det är konstant sårbarheter i dessa och de har en stor användarbas så de är populära att utnyttja.

Allt som behövs är att någon skickar t.ex ett dokument som kan exekvera kod, t.ex word/excel-dokument eller bundlas med något genom en supply chain-attack.

Tro inte att man är säker bara för att man bara laddar ner från säkra ställen. Flera "normala" program har med sin auto update spridit skadlig kod, t.ex VLC etc. Räcker med en sådan auto update och att utnyttja en känd sårbarhet i processer som körs med högre behörigheter så är man "ägd".

Det var inte vad jag frågade. Jag frågade varför det körs kod i en bildfil. En bildvisningsfunktion borde inte köra kod i bildfilen för att visa den. Där är det nåt fundamentalt fel.

Fast räcker det verkligen att exekvera något med admin-rättigheter? Jag menar, att ändra BIOS kräver ju normalt lite mer än så.

Skönt annars att sitta på ett Asus-moderkort där de inte bara har värdelösa BIOS-uppdateringar, utan även lägger upp fel filer för nedladdning. Vad kan gå fel liksom...

Genom att få in det i BIOS den här vägen så kan det gå förbi alla säkerhetsfunktioner som hindrar applikationer (även virus) från att (t.ex.) läsa data ur arbetsminnet. Det gör det möjligt att t.ex. fånga upp krypteringsnycklar och annat som annars hade varit omöjligt (utan ett annat säkerhetshål).

Många virus idag är "begränsade" till enklare grejer som att logga dina tangenttryckningar och skicka hem dom för att försöka snappa upp och sno lösenord eller kryptera dina filer och kräva dig på pengar för att återfå access. Båda dom är ju otroligt mycket trubbigare än att plocka information ur arbetsminnet som gör det möjligt att spegla din pågående session mot din bank t.ex. eller krypto ännu hellre.

Det är också svårare att upptäcka och ta bort.

Hmmm, hittade inget om detta men, om man har Bios Password
inställt, kan de verkligen byta bild då ?

Är det detta polisen använder sig av nu med den nya lagen om att kunna snoka runt hur som helst i allas datorer?

https://www.tv4.se/artikel/58KwAp9b1BDqdMiiU8qMXK/omstridd-la...

Eller hur görs detta annars?

Man läser om säkerhetsbrister relativt ofta och vissa framhåller hur vanligt det är att man utnyttjar bristerna men ändå har jag eller någon jag känner aldrig blivit hackade på säkert 20-30 år? Iallafall inte vad man vet. Så frågan är hur vanligt detta verkligen är.

Vad som dock sker hyfsat ofta är försök att kapa diverse service konton, det dyker upp återställningsmail lite då och då. Men än så länge har aldrig någon lyckats kapa något konto.

Jag ifrågasätter nödvändigtvis inte enkelheten i att utnyttja säkerhetsbristerna utan snarare på hur vanligt det är att det sker.

Det var inte vad jag frågade. Jag frågade varför det körs kod i en bildfil. En bildvisningsfunktion borde inte köra kod i bildfilen för att visa den. Där är det nåt fundamentalt fel.

Det handlar om att utnyttja en bug, kanske i koden som läser in bilden, eller på andra ställen, och gömma kod i bildfilen, antingen dolt efter all giltig bilddata, eller i själva bilden. När du utnyttjar buggen så kan du få exekveringen att börja köra din dolda kod som fanns i bildfilen som var infekterad

Bilden i sig skulle såklart inte exekveras i vanliga fall

Så... En hackar behöver full admin till min dator för att utföra attacken, och väljer då att skriva om bios för att därigenom installera sitt mög? Istället för att bara installera det när han ändå hade admin access? Vad är det jag missar? (På väg hem från en fest så kan missa mycket just nu)

Är väl bl.a. att skit som lägger sig i bios är potentiellt svårare att bli av med / mycket bättre på att gömma sig.
Förövaren vill ju inte att deras skit ska försvinna vid första bästa anti-virus uppdatering.
Klassikern blås hårddisken och installera om skulle ju inte göra mycket heller eftersom det inte ligger på hårddisken längre.

Varför körs kod i en bildfil?

When the attacker sets the variable “PngWidth” to a large value, the multiplication by two will make the result overflow around and become a small value (for example: 0x80000200 * 2 = 0x400). In this way, the attacker can force the allocation of a buffer that is too small to hold the decoded PNG data and thus overflow the buffer when it will be used.

Kod och data är samma sak i en von Neumann-arkitektur. De lever i samma RAM. Data måste naturligtvis kunna skrivas för att få något vettigt gjort, alltså kan man skriva kod som därefter kan köras.

Moderna operativsystem har en del skydd för att slumpa var koden ligger för att göra det svårare att utnyttja säkerhetshål och en del mekanismer för att låsa visst del av RAM från att skrivas över. Men här pratar vi ju om UEFI, som inte nödvändigtvis är ett operativsystem i den bemärkelsen.

Bildparsern ska ju flytta information från bildfilen, till en bit av RAM som kan visas på skärmen, enligt någon algoritm. Många bildfiler behöver packas upp eftersom de är komprimerade.

Man manipulerar bilden så att den får bildparsern att göra något galet, till exempel att skriva över befintlig UEFI-kod med kod från bilden. Man gör det på ett sätt så att koden sedan körs. Klassisk exploit-teknik, baserat på att indata inte valideras korrekt. Som programmerare kan man aldrig lita på att indata är korrekt.

Det konceptet är jag helt med på. Men som artikeln var formulerad tolkade jag det som att själva bildfilen innehöll kod som medvetet kördes av moderkortets bildvisningskod.

Nej, men bildfilen innehåller visserligen kod... men den körs inte avsiktligt utan via typ en buffer overflow triggad av ett avsiktligt fel i bildfilen eller liknande. Dvs "som vanligt" i sammanhanget.