Lek Intelchips 'toont zwakheid firmwarebeveiliging'

Door misbruik te maken van een fout in de cpu-caching van Intel-processoren hebben de twee toegang gekregen op het SMM-gebied. SMM staat voor System Management Mode. In theorie zou iemand willekeurige code kunnen draaien, om bijvoorbeeld een rootkit te installeren.

Het is niet de eerste keer dat een kwetsbaarheid wordt gevonden in het SMM-gebied, zo schrijven ze. Zelf zijn ze de afgelopen tien maanden al op drie lekken gestuit in het systeem, en ook andere onderzoekers hebben problemen gevonden.

Aanvallen op SMM zijn pikant omdat dat gebied instructies uitvoert op zeer diep niveau, dieper nog dan bijvoorbeeld hypervisors. Daar heeft zelfs het OS geen toegang toe. SMM maakt deel uit van Intelchips sinds de 386.

Het is niet de eerste keer dat een dergelijke aanval wordt beschreven; een jaar geleden werd ook al gerept van een exploit voor SMM, en de schrijvers van deze paper zeggen zelf al drie kwetsbaarheden gevonden te hebben in de afgelopen tien maanden. Sterker: dit lek zou in 2005 al zijn ontdekt door medewerkers van Intel zelf, maar het bedrijf heeft sindsdien geen actie ondernomen, ze schrijven de white hats.

De twee hackers, Joanna Rutkowska en Rafal Wojtczuk, zijn geen onbekenden op het gebied van chiphacking. Rutkowska maakte furore met haar zogenaamde Blue Pill-aanval, die huishield op hypervisorniveau. Recenter heeft ze samen met Wojtczuk een lek in het beheerplatform vPro blootgelegd.

De problemen zijn al doorgegeven aan Intel, die zegt bezig te zijn met firmware-updates tegen de gemelde kwetsbaarheden. De aanval, zo meldt Rutkowska, werkt nog wel op zeer recent uitgegeven chipsets, iets dat volgens haar duidt op structurele gebreken in firmwarebeveiliging. Maar voor een 'massale infectie' hoeft niemand nog bang te zijn; voorlopig moeten aanvallers root-user toegang hebben tot een systeem om het MTRR-register aan te passen, en ze moeten de precieze chip/chipsetcombinatie kennen.

Bron: Techworld