DellやHPE製品に影響、複数のUEFIに高い特権で任意コード実行の脆弱性

JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は11月9日、「JVNVU#96604488: 複数のUEFI実装における競合状態に関する脆弱性」において、複数のユニファイド・エクステンシブル・ファームウェア・インタフェース(UEFI: Unified Extensible Firmware Interface)実装に脆弱性が存在すると伝えた。脆弱性が悪用されると、攻撃者によって高い特権で任意のコードが実行される危険性があるとされており、注意が必要。

脆弱性に関する情報は次のページにまとまっている。

VU#434994 - Multiple race conditions due to TOCTOU flaws in various UEFI Implementations

UEFIはシステム管理モード(SMM: System Management Mode)と呼ばれる高い特権のプロセッサ動作モードで実行される。SMMはメモリ空間上にSMRAMと呼ばれる専用のRAM領域をマップし、高い優先度のシステム管理割り込み処理により実行される。

このSMRAMに対する検証処理の不備により、Time of check to time of use（TOCTOU）競合状態が発生する問題(CVE-2021-33164)が複数のUEFI実装で発見されている。この問題を悪用したDMAタイミング攻撃（Direct Memory Access timing attack）により、任意のコードがSMMの高い権限で実行される危険性があるとされている。

想定される脆弱性の影響は次のとおり。

SecureBootやBootGuardといった、UEFIのセキュリティ機能がバイパスされる
不正なソフトウェアがインストールされる
バックドアが設置される
システムが正常に起動できなくなる

脆弱性の影響を受けるベンダーは詳細ページで確認できる。現在、影響を受けると発表されているベンダーは次のとおり。

American Megatrends Incorporated (AMI)
Dell
Hewlett Packard Enterprise
Insyde Software Corporation
Intel

一部のベンダーからは、緩和策やセキュリティアドバイザリがリリースされている。それ以外のベンダーからは、今後発表があるとみられる。JPCERT/CCは、開発者の提供する情報に注視するとともに、最新のUEFIファームウェア適用することを推奨している。