Уязвимости PixieFAIL в TianoCore EDK II грозят ЦОД и облакам UEFI-атаками

Уязвимости PixieFAIL в TianoCore EDK II грозят ЦОД и облакам UEFI-атаками

Уязвимости PixieFAIL в TianoCore EDK II грозят ЦОД и облакам UEFI-атаками

В UEFI-реализации TianoCore EDK II выявлено девять уязвимостей. Угрозы разной степени опасности с общим названием PixieFAIL актуальны для прошивок таких вендоров, как AMI, Microsoft, Intel, Insyde Software и Phoenix Technologies.

Все найденные проблемы привязаны к сетевому стеку IPv6. Исследователи из французской компании Quarkslab обнаружили их при беглом просмотре кода PXE (модуля NetworkPkg).

Эксплойт во всех случаях не требует аутентификации, осуществляется по сети либо удаленно и возможен во время сетевой загрузки с использованием PXE (способ, обычно применяемый в дата-центрах и высокопроизводительных вычислительных средах).

В результате атаки злоумышленник сможет вызвать в целевой системе состояние отказа в обслуживании (DoS), добраться до закрытой информации, выполнить вредоносный код, подменить содержимое DNS-кеша, организовать перехват сеансов связи.

Перечень найденных уязвимостей:

  • CVE-2023-45229 — целочисленное переполнение при обработке опций IA_NA/IA_TA в сообщениях DHCPv6 Advertise;
  • CVE-2023-45230 — возможность переполнения буфера в клиенте DHCPv6 при обработке Server ID;
  • CVE-2023-45231 — возможность чтения за границами буфера при обработке сообщений ND Redirect;
  • CVE-2023-45232 — возможность ухода в бесконечный цикл при парсинге заголовка Destination Options;
  • CVE-2023-45233— зацикливание при парсинге опции PadN в заголовках Destination Options;
  • CVE-2023-45234 — переполнение буфера при обработке опции DNS Servers в сообщениях DHCPv6 Advertise;
  • CVE-2023-45235 — переполнение буфера при обработке опции Server ID в сообщениях DHCPv6 proxy Advertise;
  • CVE-2023-45236 —предсказуемость начальных номеров последовательности пакетов TCP;
  • CVE-2023-45237 — ненадежный генератор псевдослучайных чисел.

Модуль NetworkPkg, созданный в рамках opensource-проекта EDK II, используют прошивки UEFI различного производства. Так, багхантеры из Quarkslab удостоверились в уязвимости Project Mu от Microsoft.

Большой список потенциально затронутых вендоров привел в своем алерте Координационный центр CERT, работающей на базе института программной инженерии при университете Карнеги – Меллона (CERT/CC). Наличие PixieFAIL подтверждено также для продукции AMI, Intel, Insyde и Phoenix.

Большинство участников списка пока не предоставили CERT/CC результаты проверки; Microsoft попросила отсрочки до мая. Участники проекта TianoCore EDK II пока создали патчи для семи уязвимостей, и Quarkslab опубликовала для них PoC-эксплойты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

«Молния» против Max: в России готовят запуск нового госмессенджера

В России готовят к запуску новый отечественный мессенджер «Молния», который должен составить конкуренцию не только иностранным приложениям, но и национальному Max от VK. Разработкой занимаются компании RedSoft и Passion Tech совместно с АО «Национальный Центр Информатизации» (НЦИ), специализирующимся на создании защищённых информационных систем для государственных структур. Релиз намечен на 4 сентября 2025 года, приложение появится в RuStore и VK Store.

По словам разработчиков, «Молния» будет соответствовать российским стандартам шифрования уровня ГОСТ-2021, хранить данные на серверах в Москве и Новосибирске, а также предложит встроенный искусственный интеллект, расширенную систему идентификации, переводы через СБП с участием российских и китайских банков, маркетплейс и поддержку бизнес-аккаунтов. На старте планируется регистрация 500 тыс. пользователей, а к концу 2026 года — рост аудитории до 15 млн.

Запуск «Молнии» происходит на фоне скандалов вокруг мессенджера Max, который ранее называли одним из главных претендентов на роль «национального мессенджера». Приложение подозревают в слежке за пользователями, передаче данных за рубеж и использовании компонентов из недружественных стран, а у разработчика отсутствуют лицензии ФСТЭК и ФСБ РФ.

При этом Max и компания «Инфотекс Интернет Траст» сообщили об успешном тестировании подключения к порталу Госуслуг через ЕСИА с использованием протокола OpenID Connect, который позволяет передавать данные между системами только с согласия пользователя. Однако ФСБ уже выдвинула обширный перечень претензий к мессенджеру: отсутствует криптозащита нужного класса и другие обязательные меры по защите персональных данных. До устранения этих недостатков речь об интеграции Max с ЕСИА не идёт.

Несмотря на это Max рекомендовано активнее внедрять в работу региональных органов власти, и не исключено, что в будущем уровень его использования будет одним из критериев оценки эффективности губернаторов. Платформа также интегрировала систему автоматического анализа кода VK Security Gate с элементами ИИ, которая отслеживает изменения и подсказывает, как улучшить код.

Таким образом, «Молния» стартует в условиях, когда позиция Max на рынке «национальных мессенджеров» остаётся неоднозначной, а конкуренция за статус главного отечественного сервиса для общения и цифровых сервисов только обостряется.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru