JVNVU#94251558
Insyde H2O製UEFIアプリケーションにおけるNVRAM変数を介したデジタル証明書を挿入可能な脆弱性

Insyde H2O製UEFIアプリケーションに、NVRAM変数を介して任意のデジタル証明書を挿入され、挿入された証明書で署名された任意のファームウェアが実行可能になる脆弱性が存在します。

影響を受けるシステムについては、CERT/CC VU#211341のVendor Informationを参照してください。

UEFIは、システム起動の初期段階で、コンピューティングプラットフォームのハードウェアとOS間の相互接続を促進するファームウェアアーキテクチャの仕様です。UEFIアプリケーションは通常、Microsoft UEFI認証局（CA）によってデジタル署名されており、UEFI Secure Bootによって信頼されているソフトウェアのみを使用してシステムを起動することを保証します。UEFIでは、UEFIアプリケーションとオペレーティングシステム間で共有される構成、デバイスカスタマイズ、および実行時のコンテキストを格納する拡張可能なNVRAM変数が定義されています。

Insyde H2O製UEFIアプリケーションにおいて、信頼された証明書を保存するためのNVRAM変数SecureFlashCertDataが適切に保護されておらず、攻撃者により同変数が改ざんされることにより任意のデジタル証明書を挿入され、挿入された証明書で署名された任意のファームウェアが実行可能になる脆弱性が報告されています。

非正規のデジタル証明書で署名されたファームウェアが実行されることによりSecure Bootが回避され、ブートプロセスにおいて任意のコードが実行される可能性があります。本脆弱性を悪用したコード実行はOS起動前に行われるため、再起動やOSの再インストール後も生き残る永続的なマルウェアやカーネルルートキットがインストールされる可能性があります。

アップデートする
開発者が提供する情報をもとに、アップデートを適用してください。