В дънните платки на Gigabyte са открити уязвимости за заобикаляне на защитеното зареждане

Няколкостотин модела дънни платки на Gigabyte използват фърмуер UEFI с уязвимости, които позволяват внедряването на зловреден софтуер (bootkit), който е невидим за антивирусните програми и операционната система и може да оцелее дори при преинсталиране на последната.

Откритите уязвимости позволяват на атакуващите с локални или отдалечени администраторски права да изпълняват произволен код в режим на управление на системата (SMM) – среда, изолирана от операционната система и с разширени привилегии.

Механизмите, които изпълняват код под нивото на операционната система, имат достъп на ниско ниво до хардуера и се инициират по време на зареждане. Това позволява на зловредния софтуер в тези среди да заобикаля традиционните защити.

Фърмуерът UEFI (Unified Extensible Firmware Interface) се счита за по-сигурен благодарение на функцията Secure Boot, която чрез криптографска проверка гарантира, че при стартиране на системата се използва защитен код. Въпреки това зловреден софтуер на ниво UEFI, като например BlackLotus, CosmicStrand, MosaicAggressor, MoonBounce, LoJax могат да стартират зловреден код при всяко зареждане.

Имплементациите на UEFI фърмуера на Gigabyte съдържат четири уязвимости, открити от изследователи на компанията за цифрова сигурност Binarly. Изследователите са споделили откритията си с Координационния център на CERT към университета Карнеги-Мелън.

Първоначалният доставчик на фърмуера е American Megatrends Inc (AMI), който е поправил уязвимостите след частно уведомление, но някои ОЕМ компилации на фърмуера (например Gigabyte) не са въвели поправките по това време. Binarly откри следните уязвимости в реализациите на фърмуера на Gigabyte (всички с високо ниво на сериозност 8.2):

• CVE-2025-7029 – грешка в SMI манипулатора (OverClockSmiHandler), която може да доведе до повишаване на привилегиите на SMM;
• CVE-2025-7028 – грешка в SMI манипулатора (SmiFlash) предоставя достъп за четене/запис до RAM паметта за управление на системата (SMRAM), което отваря вратата за инсталиране на зловреден софтуер;
• CVE-2025-7027 – грешка, която може да доведе до повишаване на привилегиите на SMM и до модификация на фърмуера чрез записване на произволно съдържание в SMRAM;
• CVE-2025-7026 – грешка, която позволява произволно записване в SMRAM и може да доведе до повишаване на привилегиите на SMM и до постоянно компрометиране на фърмуера.

Порталът BleepingComputer изчислява, че уязвимостите засягат малко над 240 модела дънни платки, включително различни версии, модификации и регионални издания, като актуализациите на фърмуера са пуснати между края на 2023 година и средата на август 2024 година.