В материнских платах Gigabyte нашли уязвимости, позволяющие обойти безопасную загрузку

Несколько сотен моделей материнских плат Gigabyte используют прошивку UEFI с уязвимостями, которые позволяют внедрять вредоносное программное обеспечение (буткиты), невидимое для антивирусов и операционной системы, способное пережить даже переустановку последней.

Обнаруженные уязвимости позволяют злоумышленникам с правами локального или удалённого администратора выполнять произвольный код в режиме управления системой (SMM) — среде, изолированной от операционной системы и обладающей расширенными привилегиями. Механизмы, запускающие код ниже уровня ОС, имеют низкоуровневый доступ к оборудованию и инициируются во время загрузки. Благодаря этому вредоносное ПО в этих средах может обходить традиционные средства защиты.

Прошивка UEFI (Unified Extensible Firmware Interface) считается более безопасной благодаря функции безопасной загрузки (Secure Boot), которая посредством криптографической проверки гарантирует использование надёжного кода при старте системы. Однако вредоносное ПО уровня UEFI, такое как буткиты (BlackLotus, CosmicStrand, MosaicAggressor, MoonBounce, LoJax), может запускать вредоносный код при каждой загрузке.

В реализациях прошивки UEFI от Gigabyte присутствуют четыре уязвимости, обнаруженные исследователями компании Binarly, занимающейся цифровой безопасностью. Своими выводами специалисты поделились с Координационным центром CERT (CERT/CC) Университета Карнеги-Меллона.

Первоначальным поставщиком прошивки является компания American Megatrends Inc. (AMI), которая устранила уязвимости после частного уведомления, но в некоторых сборках прошивок OEM (например, Gigabyte) эти исправления на тот момент реализованы не были. В реализациях прошивок Gigabyte компания Binarly обнаружила следующие уязвимости (все с высоким уровнем серьёзности — 8,2):

• CVE-2025-7029 — ошибка в обработчике SMI (OverClockSmiHandler), которая может привести к повышению привилегий SMM;
• CVE-2025-7028 — ошибка в обработчике SMI (SmiFlash) предоставляет доступ на чтение/запись к оперативной памяти управления системой (SMRAM), открывая возможность к установке вредоносного ПО;
• CVE-2025-7027 — может привести к повышению привилегий SMM и изменению прошивки путём записи произвольного содержимого в SMRAM;
• CVE-2025-7026 — позволяет выполнять произвольную запись в SMRAM и может привести к повышению привилегий SMM и постоянной компрометации прошивки.

По подсчётам портала BleepingComputer, уязвимости затронули чуть более 240 моделей материнских плат, включая различные версии, модификации и региональные издания, с обновлениями прошивок, выпущенными между концом 2023 года и серединой августа 2024 года. Журналисты обратились к Binarly за уточнением, но в любом случае речь идёт о десятках моделей.

Исследователи Binarly уведомили Координационный центр CERT/CC об этих уязвимостях 15 апреля, а Gigabyte подтвердила их наличие 12 июня. После этого, по данным CERT/CC, компания выпустила обновления прошивок. Однако OEM-производитель не опубликовал бюллетень безопасности по этим уязвимостям. По мнению основателя и генерального директора Binarly Алекса Матросова (Alex Matrosov), Gigabyte, скорее всего, ещё не выпустила полноценные исправления. Кроме того, многие из затронутых моделей уже сняты с производства, и их владельцам не стоит ожидать обновлений безопасности.

«Поскольку все эти четыре уязвимости возникли в референсном коде AMI, компания AMI раскрыла их некоторое время назад, по-тихому сообщив информацию только платным клиентам в рамках соглашения о неразглашении (NDA). Это привело к серьёзным последствиям: производители годами оставляли платы уязвимыми и не выпускали обновлений. Похоже, Gigabyte до сих пор не опубликовала исправлений, а многие из затронутых плат достигли статуса окончания жизненного цикла, что означает, что они останутся с этими уязвимостями на неопределённый срок», — прокомментировал Алекс Матросов.

Отмечается, что риск для обычных пользователей остаётся низким. Однако тем, кто работает в критически важных средах, рекомендуется воспользоваться сканером Risk Hunt от Binarly, который позволяет бесплатно определить наличие указанных четырёх уязвимостей.