Сегодня 19 июля 2024
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Hardware

У новых плат Gigabyte обнаружился бэкдор — через него злоумышленник может подменить BIOS

Исследовательская компания Eclysium обнаружила серьёзную уязвимость в прошивке Gigabyte UEFI, установленной на сотнях моделей материнских плат. Бэкдор позволяет установить обновления BIOS с незащищённых веб-серверов. Этот код Gigabyte использовала для установки обновлений BIOS либо через Интернет, либо из подключённого хранилища в локальной сети. Но инструмент не имеет защиты и осведомлённый злоумышленник может загрузить свой собственный код BIOS в материнскую плату ПК.

 Источник изображения: pexels.com

Источник изображения: pexels.com

Проблема была обнаружена в исполняемом файле утилиты Gigabyte App Center, который может устанавливать новую прошивку UEFI BIOS, загружая её с незащищённого сервера Gigabyte и устанавливая программное обеспечение без какой-либо проверки цифровой подписи.

Эта уязвимость системы безопасности может привести к тому, что злоумышленники будут использовать OEM-бэкдор для загрузки вредоносного кода, такого как руткиты, либо сразу на компьютер пользователя, либо через компрометацию собственного сервера Gigabyte. Также возможны атаки типа «человек посередине», перехватывающие процесс загрузки. Eclysium опубликовала три URL-адреса Gigabyte, которые рекомендуется заблокировать пользователям для предотвращения обновлений через Интернет.

Затронуты сотни моделей розничных и корпоративных материнских плат, в том числе некоторые из новейших системных плат для сборщиков систем высокого класса. В списке плат с бэкдором фигурирует 271 модель, включая продукты на базе чипсетов A520, A620, B360, B450, B460, B550, B650, B660, Z590, Z690, а полный список можно посмотреть здесь (ссылка в формате PDF). Eclysium сообщает, что проинформировала Gigabyte об уязвимости и что компания планирует решить проблему, предположительно, с помощью обновления прошивки, что не может не вызвать нервную усмешку. С подробной технической информацией об обнаружении уязвимости можно ознакомиться в блоге компании Eclysium.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Вечерний 3DNews
Каждый будний вечер мы рассылаем сводку новостей без белиберды и рекламы. Две минуты на чтение — и вы в курсе главных событий.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Попытка номер два: спустя восемь месяцев «Сбер» вернул возможность пополнения российских аккаунтов Steam 38 мин.
Беда не приходит одна: многочасовой сбой Microsoft Azure совпал с неудачным обновлением CrowdStrike, приводящему к BSOD 53 мин.
Первое дополнение к шутеру про спецназ Ready or Not выйдет на следующей неделе — игра перейдёт на UE 5.3 и получит поддержку DLSS 3.7 2 ч.
Сериал по Halo закрыли после всего двух сезонов, но Microsoft шоу не бросит 2 ч.
Microsoft одобрила поддельный блокировщик рекламы, который внедрял вредоносное ПО на уровне ядра 2 ч.
Figma объяснила, почему её ИИ-помощник копировал дизайн приложений Apple 3 ч.
Институт развития интернета выделил разработчикам «Смуты» ещё почти 100 миллионов рублей — источники рассказали, на что пойдут деньги 3 ч.
«Заметки» в Instagram теперь можно оставлять к публикациям в ленте и Reels 3 ч.
«ФТК предупреждала»: американский регулятор назвал подорожание Game Pass и тариф без игр на релизе «деградацией продукта» 4 ч.
Blizzard показала геймплейный трейлер и раскрыла детали наследника духов из Diablo IV: Vessel of Hatred — совершенно нового класса для серии 16 ч.
Huawei подала в суд на MediaTek за нарушение патентов 2 ч.
Microsoft инвестировала в стартап Cyclic Materials, извлекающий редкоземельные элементы из старых HDD 2 ч.
Ветеран Intel Лиза Спелман возглавит стартап Cornelis Networks, ранее отделившийся от Intel 2 ч.
Boeing изготовила первую ступень для ракеты SLS, которая впервые за 50 лет отправит людей к Луне 2 ч.
Китайская YMTC подала в суд на Micron за кражу 11 технологий компьютерной памяти 2 ч.
В России резко подскочили продажи планшетов — за полгода было продано более 1,1 млн единиц на сумму 23 млрд рублей 3 ч.
Ровер Perseverance сфотографировал марсианского снеговика из камней 3 ч.
Meta намерена развивать умные очки и готовит многомиллиардные инвестиции в EssilorLuxottica 4 ч.
Одноплатный компьютер Orange Pi 5 Max получил адаптеры 2.5GbE и Wi-Fi 6E 4 ч.
48 слотов DIMM в стандартном корпусе: EPYC-серверы Gigabyte R283-ZK0 и R183-ZK0 предлагают высокоплотное размещение DDR5 5 ч.