顶级服务器发现重大安全漏洞

安全公司 Binarly 发现了 20 多个隐藏在 BIOS/UEFI 软件中的漏洞，这些漏洞来自各种系统供应商，包括英特尔、微软、联想、戴尔、富士通、惠普、HPE、西门子和 Bull Atos。

Binarly 发现这些问题与 InsydeH20 的使用有关，InsydeH20 是一种用于构建主板统一可扩展固件接口 (UEFI) 的框架代码，它是计算机操作系统和固件之间的接口。

上述所有供应商都使用 Insyde 的固件 SDK 进行主板开发。预计其他内部和第三方 BIOS 供应商产品中也存在类似类型的漏洞。

这些漏洞特别危险，因为基于 UEFI/BIOS 的攻击可以绕过基于固件的安全机制。这些漏洞包括 SMM 分配或权限提升、SMM 内存损坏和 DXE 内存损坏。

这些漏洞造成的潜在损害非常严重，因为攻击者可以利用它们绕过基于硬件的安全功能，例如安全启动、基于虚拟化的安全 (VBS) 和可信平台模块 (TPM)。这些漏洞存在于 UEFI 中，但允许恶意软件安装在系统上，这些恶意软件可以在硬盘驱动器擦除和操作系统重新安装后幸免于难。

最初，Binarly 披露了 23 个新漏洞，但随后发现了另外五个特定于 HP 硬件的漏洞。据 Binarly 称，这些漏洞影响桌面和服务器硬件，该公司已向企业供应商和 Insyde 报告了这些漏洞。修复工作正在进行中。

Binarly 表示，在过去几个月中，它与 CERT/CC 和 Insyde 团队密切合作，以确认漏洞，提供更多技术细节，评估相关风险，并完成负责任的披露流程。

Insyde 已经修补了所有漏洞，但固件推出往往很慢，因为固件的更新不如软件那么频繁。Binarly 指出，CERT/CC 团队开发的用于漏洞披露的 VINCE 平台已经在真实环境中进行了测试，可将从最初披露到安全修复的时间显着缩短至五个月。通常的单一供应商披露过程需要六个月以上的时间——很长一段时间才能使严重的漏洞得不到修补。

Binarly 还与 Linux 供应商固件服务 (LVFS) 合作，以发现其他供应商并进一步扩展检测，以使用其固件漏洞检测工具 FwHunt 识别受影响的硬件模型。