Ein Sicherheitsproblem in Intel-Chipsätzen ermöglicht lokalen Angreifern Firmware-Manipulationen bis hin zum Denial-of-Service. Als erster Hersteller stellt nun Lenovo BIOS/UEFI-Updates bereit.
In einem Anfang April veröffentlichten Sicherheitshinweis hat Intel vor konfigurationsbedingten Angriffsmöglichkeiten auf SPI-Flash-Chips in mehreren Chipsätzen mittels unsicherer Opcodes gewarnt. Zugleich stellte das Unternehmen auch Fixes bereit, die Lenovo nun als erster Hardware-Hersteller zu Firmware-Updates verarbeitet hat. Eine detaillierte Liste betroffener Geräte nebst Update-Links findet sich auf der Hersteller-Webseite.
Das von der Sicherheitslücke mit der Kennung CVE-2017-5703 ausgehende Risiko wurde mit einem CVSS-v3-Score von 7.9 als hoch bewertet. Eigenen Angaben zufolge hat Intel das Problem intern entdeckt. Hinweise auf aktive Exploits "in the wild" wurden bislang nicht bekannt; dennoch ist zu hoffen, dass weitere Hersteller Lenovos Beispiel zügig folgen.
Angreifer muss vor Ort sein
Im SPI-Flash-Speicher befindet sich die Firmware, auf die der Rechner während des Boot-Prozesses zugreift. Laut Lenovos Beschreibungen könnte ein Angreifer diese löschen oder auch manipulieren, um Firmware-Updates zu unterbinden oder den Boot-Vorgang komplett zu sabotieren (Denial-of-Service). Unter bestimmten, jedoch eher seltenen Umständen sei auch die Ausführung beliebigen eigenen (Schad-)Codes durch den Angreifer möglich.
Wie der Angriff im Detail abläuft, geht aus Intels Sicherheitshinweis nicht hervor; da von einem "lokalen Angreifer" die Rede ist, scheint aber physischer Zugriff auf die Hardware notwendig zu sein.
(ovw)