Ένα σύνολο εννέα τρωτών σημείων, που ονομάζονται συλλογικά «PixieFail», επηρεάζουν τη στοίβα πρωτοκόλλου δικτύου IPv6 του EDK II της Tianocore, την υλοποίηση αναφοράς ανοιχτού κώδικα της προδιαγραφής UEFI που χρησιμοποιείται ευρέως σε εταιρικούς υπολογιστές και διακο
μι
στές.
Τα ελαττώματα υπάρχουν στη διαδικασία εκκίνησης του δικτύου PXE, η οποία είναι ζωτικής σημασίας για την παροχή λειτουργικών συστημάτων σε κέντρα δεδομένων και υπολογιστικά περιβάλλοντα υψηλής απόδοσης, καθώς και μια τυπική διαδικασία για τη φόρτωση εικόνων λειτουργικού συστήματος από το δίκτυο κατά την εκκίνηση.
Τα ελαττώματα του PixieFail ανακαλύφθηκαν από
Ερευνητές Quarkslab
και έχουν ήδη γνωστοποιηθεί στους επηρεαζόμενους προμηθευτές μέσω συντονισμένης προσπάθειας από
CERT/CC
και CERT-FR.
Λεπτομέρειες PixieFail
Τα τρωτά σημεία PixieFail προκύπτουν από την υλοποίηση του IPv6 στο Preboot Execution Environment (PXE), μέρος της προδιαγραφής UEFI.
Το PXE επιτρέπει την εκκίνηση του δικτύου και η εφαρμογή του IPv6 εισάγει πρόσθετα πρωτόκολλα, αυξάνοντας την επιφάνεια επίθεσης.
Οι επιθέσεις PixieFail αποτελούνται από εννέα ελαττώματα που μπορούν να αξιοποιηθούν τοπικά σε ένα δίκτυο για να προκαλέσουν άρνηση υπηρεσίας (DoS),
αποκάλυψη
πληροφοριών, απομακρυσμένη εκτέλεση κώδικα (RCE), δηλητηρίαση προσωρινής μνήμης DNS και παραβίαση συνεδρίας δικτύου.
Παρακάτω είναι μια περίληψη των εννέα ελαττωμάτων του PixieFail:
-
CVE-2023-45229
: Λανθασμένος χειρισμός των επιλογών IA_NA/IA_TA στο DHCPv6 Διαφημίστε μηνύματα, που οδηγεί σε υπορροή ακεραίων και πιθανή καταστροφή της μνήμης. -
CVE-2023-45230
: Προβληματικός χειρισμός μακρών επιλογών Αναγνωριστικού διακομιστή στο DHCPv6, που επιτρέπει την υπερχείλιση του buffer και πιθανώς οδηγεί σε απομακρυσμένη εκτέλεση κώδικα ή σφάλματα συστήματος. -
CVE-2023-45231
: Προβληματικός χειρισμός περικομμένων επιλογών σε μηνύματα ανακατεύθυνσης Neighbor Discovery (ND), που οδηγεί σε ανάγνωση εκτός ορίων. -
CVE-2023-45232
: Ελάττωμα στην ανάλυση της κεφαλίδας Επιλογές προορισμού IPv6, όπου άγνωστες επιλογές μπορούν να ενεργοποιήσουν έναν άπειρο βρόχο, προκαλώντας άρνηση υπηρεσίας. -
CVE-2023-45233
: Πρόβλημα
απε
ριόριστου βρόχου κατά την ανάλυση της επιλογής PadN στην κεφαλίδα Επιλογές προορισμού IPv6. -
CVE-2023-45234
: Πρόβλημα υπερχείλισης buffer κατά τον χειρισμό της επιλογής Διακομιστές DNS σε μήνυμα DHCPv6 Advertise. -
CVE-2023-45235
: Ευπάθεια κατά το χειρισμό της επιλογής Αναγνωριστικό διακομιστή από ένα μήνυμα Διαφημίστε διακομιστή μεσολάβησης DHCPv6, που οδηγεί σε υπερχείλιση buffer. -
CVE-2023-45236
: Η στοίβα TCP στο EDK II δημιουργεί προβλέψιμους αρχικούς αριθμούς ακολουθίας, καθιστώντας την ευαίσθητη σε επιθέσεις πειρατείας περιόδου λειτουργίας TCP. -
CVE-2023-45237
: Χρήση μιας αδύναμης γεννήτριας ψευδοτυχαίων αριθμών στη στοίβα δικτύου, που ενδεχομένως διευκολύνει διάφορες επιθέσεις δικτύου.
Από τα παραπάνω, τα πιο σοβαρά είναι τα CVE-2023-45230 και CVE-2023-45235, τα οποία επιτρέπουν στους εισβολείς να εκτελούν απομακρυσμένη εκτέλεση κώδικα, οδηγώντας πιθανώς σε πλήρη συμβιβασμό του συστήματος.
Το Quarkslab έχει
κυκλοφόρησε proof-of-concept (PoC) exploits
που επιτρέπουν στους διαχειριστές να εντοπίζουν ευάλωτες συσκευές στο δίκτυό τους.
Ευρεία επίδραση
Τα τρωτά σημεία PixieFail επηρεάζουν την υλοποίηση EDK II UEFI της Tianocore και άλλους προμηθευτές που χρησιμοποιούν τη μονάδα NetworkPkg, συμπεριλαμβανομένων μεγάλων εταιρειών τεχνολογίας και παρόχων
BIOS
.
Σύμφωνα με το Quarkslab, αυτό περιλαμβάνει τις Arm Ltd., Insyde Software, American Megatrends Inc. (AMI), Phoenix Technologies Inc. και Microsoft Corporation. Η συμβουλή ασφαλείας της CERT/CC αναφέρει επίσης ότι η Intel επηρεάζεται.
Αν και το πακέτο EDK2 περιλαμβάνεται στο δέντρο πηγαίου κώδικα του ChromeOS, η Google έχει ορίσει ότι δεν χρησιμοποιείται σε Chromebook παρ
αγωγή
ς και δεν επηρεάζεται από τα ελαττώματα του PixieFail.
Η αρχική γνωστοποίηση στο CERT/CC έγινε στις 3 Αυγούστου 2023 και η προθεσμία αποκάλυψης ορίστηκε στις 2 Νοεμβρίου 2023, ακριβώς στο όριο των 90 ημερών.
Λόγω της πολυπλοκότητας στην επίλυση των προβλημάτων που αντιμετωπίζουν πολλοί προμηθευτές, η CERT/CC μετέφερε την ημερομηνία αποκάλυψης πολλές φορές, αρχικά την 1η Δεκεμβρίου 2023 και στη συνέχεια στις 16 Ιανουαρίου 2024.
Ωστόσο, ορισμένοι ζήτησαν μεγαλύτερη αναβολή, με τη Microsoft να ζητά η ημερομηνία-στόχος να μεταφερθεί στον Μάιο του 2024.
Αυτή τη στιγμή, οι περισσότερες ενημερώσεις κώδικα προμηθευτών βρίσκονται σε δοκιμαστική/μη επικυρωμένη κατάσταση και η Tianocore έχει παράσχει επιδιορθώσεις για τις πρώτες επτά ευπάθειες.
VIA:
bleepingcomputer.com
