Hàng tấn bo mạch chủ Gigabyte đi kèm với một backdoor phần sụn ẩn (Cập nhật: Đã vá)

Hàng tấn bo mạch chủ Gigabyte đi kèm với một backdoor phần sụn ẩn (Cập nhật: Đã vá)

Nhà cung cấp linh kiện Gigabyte có một số câu hỏi cấp bách cần trả lời. Điều đầu tiên và cấp bách nhất là, “Tại sao bạn lại đặt một cửa sau của trình cập nhật vào chương trình cơ sở bo mạch chủ của riêng bạn mà không nói cho ai biết?” Thứ hai là, “Tại sao bạn không khóa nó theo bất kỳ cách nào có ý nghĩa, hy vọng rằng nó sẽ được an toàn đơn giản bằng cách không bị phát hiện?” Những câu hỏi như vậy đã được đặt ra bởi công ty nghiên cứu bảo mật Eclysium khi họ phát hiện ra cửa hậu nói trên trong chương trình cơ sở UEFI của Gigabyte, được tải trên hàng trăm mẫu bo mạch chủ bán lẻ và doanh nghiệp. 

Eclysium nói rằng mã này dành cho Gigabyte để cài đặt các bản cập nhật chương trình cơ sở qua internet hoặc với bộ lưu trữ đính kèm trên mạng cục bộ. Nhưng theo các nhà nghiên cứu, công cụ này hầu như không an toàn, có nghĩa là bất kỳ tác nhân độc hại nào biết về nó đều có khả năng tải mã của chính họ lên bo mạch chủ PC. Sự cố được phát hiện thông qua tệp thực thi khởi động Windows có thể cài đặt chương trình cơ sở UEFI mới, tải xuống từ máy chủ Gigabyte không bảo mật và cài đặt phần mềm mà không cần bất kỳ xác minh chữ ký nào. 

Bài đăng trên blog nghiên cứu nói rằng lỗ hổng bảo mật này có thể dẫn đến việc những kẻ xấu sử dụng cửa hậu OEM để tải mã có hại như rootkit, trực tiếp vào máy của người dùng hoặc bằng cách xâm phạm máy chủ của chính Gigabyte. Cũng có thể tấn công “người ở giữa”, chặn quá trình tải xuống thông qua một vectơ bổ sung. Eclysium cung cấp ba URL Gigabyte có thể bị chặn bởi người dùng hoặc quản trị viên để ngăn cập nhật dựa trên internet. 

Hàng trăm mẫu bo mạch chủ bị ảnh hưởng, bao gồm một số bo mạch bán lẻ mới nhất dành cho các nhà xây dựng hệ thống cao cấp. Bạn có thể xem danh sách đầy đủ tại đây (liên kết PDF) . Eclysium cho biết họ đã thông báo cho Gigabyte về lỗ hổng và công ty có kế hoạch giải quyết vấn đề này, có lẽ bằng (ha) một bản cập nhật chương trình cơ sở.

Cập nhật: Gigabyte đã liên hệ với PCWorld để nói rằng họ đã “ thực hiện kiểm tra bảo mật chặt chẽ hơn trong quá trình khởi động hệ điều hành”. Chương trình cơ sở được cập nhật cho bo mạch chủ Intel 500, Intel 600 và AMD 600 bao gồm xác minh chữ ký và xác minh mật mã cho các chứng chỉ máy chủ từ xa.

Nguồn: PCWorld