UEFIの脆弱性

UEFIはUnified Extensible Firmware Interfaceです。
これはマザーボードに保存されているプログラムで、パソコンの電源を入れると最初に起動します。
コンピュータには、本体内部の回路や装置などの基本的な制御を司るファームウェアと呼ばれる機種毎に固有のソフトウェアが内蔵されていて、OSはファームウェアに処理を依頼してハードウェアを動作させます。
UEFIはOSとファームウェアを連携させるためにその間をつなぎます。

先日、LenovoのUEFIファームウェアで3つの脆弱性が修正されたというアナウンスがありました。

• CVE-2022-1890
  一部のLenovoノートブック製品のReadyBootDxeドライバーでバッファオーバーフローが確認されました。
  これにより、ローカル権限を持つ攻撃者が任意のコードを実行できる可能性があります。

   

• CVE-2022-1891
  一部のLenovoノートブック製品のSystemLoadDefaultDxeドライバーでバッファオーバーフローが確認されました。
  これにより、ローカル権限を持つ攻撃者が任意のコードを実行できる可能性があります。

   

• CVE-2022-1892
  一部のLenovoノートブック製品のSystemBootManagerDxeドライバーでバッファオーバーフローが確認されました。
  これにより、ローカル権限を持つ攻撃者が任意のコードを実行できる可能性があります。

これらはいずれも同じ意味合いの問題を持っていて、「DataSize」と呼ばれるNVRAM変数の検証が不十分であるために発生し、コード実行を実現するために武器化される可能性のあるバッファーオーバーフローが発生します。

今回の件だけでなくUEFIやその周辺において脆弱性が確認されるケースは見られます。
使用しているOSやアプリケーションのメンテナンスだけでなく、使用している機器のUEFIファームウェアなどについてもメンテナンスを継続的に実施していくことが必要です。

参考記事（外部リンク）：New UEFI Firmware Vulnerabilities Impact Several Lenovo
Notebook Models
thehackernews.com/2022/07/new-uefi-firmware-vulnerabilities.html