Уязвимости в ноутбуках Dell и HP позволяют осуществить DMA-атаки

Специалисты из компании Eclypsium обнаружили опасные уязвимости в ноутбуках Dell и HP. Их эксплуатация позволяет злоумышленнику получить доступ к информации и повысить привилегии до уровня ядра с помощью функции прямого доступа к памяти (Direct Memory Access, DMA).

Прямой доступ к памяти — режим обмена данными между устройствами компьютера или между устройством и основной памятью, в котором центральный процессор не участвует. Так как данные не пересылаются в ЦП и обратно, скорость передачи увеличивается.

Благодаря сохранению вычислительной мощности, злоумышленники могут использовать DMA-функцию для обеспечения высокой скорости чтения и записи памяти непосредственно на системе жертвы. Она также позволяет обойти средства защиты корневого доверия и цепочки доверия, такие как UEFI Secure Boot, Intel Boot Guard, HP Sure Start и Microsoft Virtualization-Security.

В случае успешной компрометации злоумышленник может выполнить код в режиме ядра на системе, внедрить различные импланты и выполнить дополнительные действия, например, запустить системные оболочки или удалить требования к паролю.

В ходе тестирования DMA-защиты в современных ноутбуках исследователи обнаружили, что ноутбук Dell XPS 13 7390 (2-in-1) подвержен DMA-атакам в предзагрузочном состоянии. Обнаруженная проблема (CVE-2019-18579) связана с уязвимой конфигурацией BIOS в дефолтных настройках прошивки устройства — для нее было установлено значение «Включить модули предварительной загрузки Thunderbolt (и PCIe за TBT)». Неавторизованный злоумышленник с физическим доступом к системе может выполнить чтение или запись основной памяти посредством DMA-атаки во время загрузки платформы.

Компания Dell выпустила обновление BIOS, которое по умолчанию отключает уязвимую настройку.

Еще одну уязвимость исследователи выявили в ноутбуке HP ProBook 640 G4 с технологией HP Sure Start Gen4. HP Sure Start «содержит встроенный контроллер, предназначенный для проверки целостности BIOS до того, как процессор выполнит первую строку кода». Проблема (пока ей не присвоен идентификатор CVE) позволяет злоумышленникам скомпрометировать «интерфейс расширяемой прошивки» (Extensible Firmware Interface, UEFI) и выполнить неавторизованный код в начале процесса загрузки.

Эксперты сообщили HP об обнаруженной уязвимости, и компания выпустила обновленную версию BIOS, устраняющую проблему.