JVNVU#90984676
UEFI実装に組み込まれた画像処理ライブラリにおける複数の脆弱性

UEFI実装に用いられる複数の画像処理ライブラリに、種々の脆弱性が発見されています。

影響を受けるシステムについては、CERT/CC VU#811862のVendor Informationを参照してください。

多くのUEFI実装では、ブート処理の初期段階においてEFIシステムパーティション(ESP)に保存されているブートロゴ画像を読み込み、画面に表示させています。この画像処理を行うライブラリは複数のベンダにより開発され様々なUEFI実装に組み込まれていますが、それらの画像処理ライブラリに複数の脆弱性が発見されています。

本脆弱性を悪用する攻撃手法は発見者により「LogoFAIL」と呼称されています。

当該ライブラリが用いられるUEFI実装により脆弱性の影響は様々ですが、脆弱性が悪用された場合、ESPパーティションまたはファームウェアに対する管理権限を持つローカルの攻撃者によって、次のような影響を受ける可能性が考えられます。

• UEFIのセキュリティ機能(Secure Boot)を無効化される
• UEFI Boot Orderまたは指定されたブートパーティションを変更される
• 不要なソフトウェアを実行され、OSへの侵害が行われる

使用しているシステムのベンダが提供する情報を注視し、最新のUEFIファームウェアを適用してください。