Vulnerabilidades de 'LogoFAIL' podrían afectar al 95% de las computadoras, según investigadores

Vulnerabilidades en el firmware que afectan a la mayoría de las computadoras permiten a los hackers ejecutar código malicioso y eludir los sistemas de seguridad de arranque, según investigadores. 

Vulnerabilidades en el firmware que podrían afectar al 95% de las computadoras permiten a los hackers eludir la seguridad de arranque y ejecutar malware al iniciar, según investigadores. Las fallas provienen de los analizadores de imágenes utilizados en el firmware del sistema UEFI para cargar imágenes de logotipos en las pantallas de inicio, recibiendo el nombre de "LogoFAIL".

"Cientos de dispositivos de consumo y empresariales de varios proveedores, incluidos Intel, Acer y Lenovo, son potencialmente vulnerables", advirtieron los investigadores de la empresa de seguridad de la cadena de suministro de firmware Binarly, quienes descubrieron los errores.

LogoFAIL se reveló por primera vez en una publicación de blog el 29 de noviembre y los detalles técnicos se publicaron el miércoles después de que Binarly presentara sus hallazgos en Black Hat Europe 2023.

¿Qué es LogoFAIL?

LogoFAIL es un conjunto de vulnerabilidades en el firmware en bibliotecas de análisis de imágenes utilizadas para cargar logotipos durante el proceso de arranque del dispositivo. Explotar LogoFAIL requiere que un atacante tenga acceso a la Partición del Sistema EFI (ESP) donde se almacena la imagen del logotipo, es decir, un hacker ha obtenido acceso remoto explotando otros errores o tiene acceso físico al dispositivo.

Modificar o reemplazar la imagen del logotipo con una carga maliciosa hace que el malware inyectado se ejecute arbitrariamente cuando la imagen se analiza durante el arranque. Este proceso de análisis de imágenes tiene lugar demasiado pronto para que los mecanismos de seguridad como Secure Boot e Intel Boot Guard detecten el código malicioso.

"Este vector de ataque puede darle a un atacante una ventaja para eludir la mayoría de las soluciones de seguridad de puntos finales y ofrecer un firmware bootkit sigiloso que persistirá en una partición ESP o cápsula de firmware con una imagen de logotipo modificada", escribieron los investigadores de Binarly.

Los investigadores demuestran una explotación de prueba de concepto de LogoFAIL en el siguiente video:

¿Mi computadora está afectada por LogoFAIL?

La superficie de ataque de LogoFAIL es inmensa debido al uso generalizado de analizadores de imágenes afectados por tres importantes proveedores independientes de BIOS (IBV) —AMI, Insyde y Phoenix. Estos proveedores suministran firmware del sistema UEFI para docenas de grandes fabricantes de dispositivos, incluidos Acer, Intel y Lenovo, que luego incorporan el firmware en cientos de modelos de dispositivos.

El CEO de Binarly, Alex Matrosov, estimó que el 95% de los dispositivos utilizan el firmware UEFI de uno de los IBV afectados, según DarkReading.

Sin embargo, no todos los dispositivos que tienen las fallas de los analizadores de imágenes que conforman LogoFAIL pueden considerarse verdaderamente "explotables", informaron los investigadores de Binarly. Por ejemplo, aunque los dispositivos de Dell probados por los investigadores incorporaban 526 analizadores defectuosos en total, las fallas no se podían utilizar para ejecutar código malicioso porque las computadoras Dell no permiten que se altere la imagen del logotipo de inicio.

Aunque los investigadores aún no han podido compilar una lista completa de modelos de dispositivos afectados, informaron sobre las vulnerabilidades a los principales IBV y proveedores de dispositivos meses antes de divulgar los detalles de LogoFAIL. Los usuarios deberán asegurarse de que el firmware de su computadora esté actualizado para protegerse contra las explotaciones de LogoFAIL; por ejemplo, Lenovo publicó un aviso de seguridad e instrucciones sobre cómo actualizar modelos de dispositivos específicos.

Fuente y créditos: 'LogoFAIL' vulnerabilities may affect 95% of computers, researchers say | SC Media (scmagazine.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.