Уязвимость в Howyar Reloader позволяла установить в систему UEFI-буткит

Уязвимость в Howyar Reloader позволяла установить в систему UEFI-буткит

Уязвимость в Howyar Reloader позволяла установить в систему UEFI-буткит

Эксперты ESET обнаружили в UEFI-загрузчике Howyar Reloader уязвимость, позволяющую обойти защиту Secure Boot и выполнить недоверенный код во время загрузки ОС. Патчи для затронутого софта уже доступны.

По словам авторов находки, уязвимость CVE-2024-7344 возникла из-за того, что Reloader не использует функции EFI_BOOT_SERVICES.LoadImage() и EFI_BOOT_SERVICES.StartImage(), предусмотренные стандартом UEFI для безопасного выполнения приложений.

В результате открылась возможность протащить в систему цепкого вредоноса вроде Bootkitty или BlackLotus, которого к тому же очень сложно выявить. PoC-эксплойт исследователи обнародовали в виде видеоролика, попыток использования CVE-2024-7344 в реальных атаках пока не обнаружено.

Популярный UEFI-загрузчик разработки Howyar Technologies (32 и 64 бит) подписан специальным сертификатом Microsoft и входит в состав пакета SysReturn и ряда аналогов.

В блог-записи ESET перечислены продукты, уязвимость которых подтверждена:

  • Howyar SysReturn ниже версии 10.2.023_20240919;
  • Greenware GreenGuard ниже 10.2.023-20240927;
  • Radix SmartRecovery ниже 11.2.023-20240927;
  • Sanfong EZ-back System ниже 10.3.024-20241127;
  • WASAY eRecoveryRX ниже 8.4.022-20241127;
  • CES NeoImpact ниже 10.1.024-20241127;
  • SignalComputer HDD King ниже 10.3.021-20241127.

Ввиду большой площади атаки об опасной находке было доложено CERT при университете Карнеги – Меллона. Координационный центр (CERT/CC) связался со всеми затронутыми вендорами и опубликовал предупреждение.

Весь уязвимый UEFI-софт уже пофиксили, а сертификат, который он использовал, Microsoft отозвала, обновив файл DBX к январскому «вторнику патчей».

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru