Pesquisadores da empresa de segurança de firmware Binarily encontraram centenas de PCs vendidos por Dell, Acer, Fujitsu, Gigabyte, HP, Lenovo e Supermicro – além de componentes vendidos pela Intel – utilizando uma chave de teste de 12 anos, vazada em 2022, para proteger suas implementações de UEFI Secure Boot.
"Um atacante com acesso à parte privada da PK pode facilmente contornar o Secure Boot manipulando o banco de dados de Key Exchange Key, o banco de dados de assinatura e o banco de dados de assinaturas proibidas", escreveram os pesquisadores da Binarily.
Os fabricantes que usaram a PK problemáticas tinham motivos para saber que ela não era confiável e não deveria ser usada fora do laboratório: isso estava indicado na própria embalagem. "Essas chaves de teste têm fortes indicações de serem não confiáveis", observou a Binarily. "Por exemplo, o emissor do certificado contém as strings 'DO NOT TRUST' ou 'DO NOT SHIP'."
Segundo a Binarily, mais de 10% das imagens de firmware em seu conjunto de dados são vulneráveis à exploração com a PK não confiável – emitida pela American Megatrends International, possivelmente desde maio de 2012. Os pesquisadores observaram que isso torna essa questão "uma das vulnerabilidades de cadeia de suprimentos mais duradouras de seu tipo."
Se um atacante utilizasse a PK em um ataque, ele poderia executar código não confiável durante o processo de inicialização, mesmo com o Secure Boot habilitado.
"Isso compromete toda a cadeia de segurança, do firmware ao sistema operacional", acrescentou a Binarily.
A Binarily lançou uma ferramenta gratuita para verificar a vulnerabilidade, chamada "PKFail". Executar essa ferramenta parece uma ação sensata. Quanto à correção desse problema, os fabricantes de dispositivos precisam agir.
Com informações The Register
Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4, com revisão humana.
