PixieFail: Tianocore EDK2 நெட்வொர்க்கிங் அடுக்கில் உள்ள பாதிப்புகளின் தொடர்

பாதிப்பு

சுரண்டப்பட்டால், இந்த குறைபாடுகள் தாக்குபவர்கள் முக்கியமான தகவல்களுக்கு அங்கீகரிக்கப்படாத அணுகலைப் பெற அனுமதிக்கலாம் அல்லது பொதுவாக சிக்கல்களை ஏற்படுத்தும்

தி QuarksLab பாதுகாப்பு ஆராய்ச்சியாளர்கள் வெளிப்படுத்தினர் ஒரு வலைப்பதிவு இடுகை மூலம் அந்த செய்தி UEFI இடைமுகத்தில் 9 பாதிப்புகளை அடையாளம் கண்டுள்ளது திறந்த தளத்தை அடிப்படையாகக் கொண்டது TianoCore EDK2, பொதுவாக சர்வர் அமைப்புகளில் பயன்படுத்தப்படுகிறது.

PixieFAIL என்று பெயரிடப்பட்டது, இந்தத் தொடர் பாதிப்புகள் நெட்வொர்க் ஃபார்ம்வேர் அடுக்கில் உள்ளது ஃபார்ம்வேர் மட்டத்தில் நெட்வொர்க் பூட் (PXE) அச்சுறுத்தும் சுரண்டலை ஒழுங்கமைக்கப் பயன்படுகிறது. நெட்வொர்க் துவக்கச் செயல்பாட்டின் போது சாத்தியமான வெற்றிகரமான சுரண்டல், சேவைத் தாக்குதல்கள், தரவு கசிவுகள், ரிமோட் குறியீடு செயல்படுத்தல், DNS கேச் விஷம் மற்றும் நெட்வொர்க் அமர்வு கடத்தல் ஆகியவற்றை மறுப்பது அனுமதிக்கும்.

PixieFail பற்றி

என்று QuarksLab பாதுகாப்பு ஆய்வாளர்கள் குறிப்பிடுகின்றனர் மிகவும் ஆபத்தான பாதிப்புகள், அங்கீகரிக்கப்படாத தாக்குபவர் ரிமோட் குறியீட்டை இயக்க அனுமதிக்கின்றன IPv6 நெட்வொர்க்கில் PXE துவக்க அனுமதிக்கும் கணினிகளில் firmware மட்டத்தில்.

போது குறைவான தீவிரமான பாதிப்புகள் சேவை மறுப்பை ஏற்படுத்தும் (பூட்லாக்), தகவல் கசிவு, DNS கேச் விஷம் மற்றும் TCP அமர்வு கடத்தல். பெரும்பாலான பாதிப்புகள் உள்ளூர் நெட்வொர்க்கிலிருந்து பயன்படுத்தப்படலாம், இருப்பினும் சில வெளிப்புற நெட்வொர்க்கிலிருந்தும் தாக்கப்படலாம்.

"இது பொதுவாக பல நிலைகளில் செய்யப்படுகிறது, TFTP போன்ற எளிய நெறிமுறையைப் பயன்படுத்தி பிணைய சேவையகத்திலிருந்து பதிவிறக்கம் செய்யப்படும் குறைந்தபட்ச நிரலில் தொடங்கி, இரண்டாவது துவக்க நிலை அல்லது முழு இயக்க முறைமை படத்தைப் பதிவிறக்கி இயக்குகிறது."

அவர்களின் வலைப்பதிவு இடுகையில், அவர்கள் அதை விவரித்துள்ளனர் TianoCore EDK2 இயங்குதளத்தை அடிப்படையாகக் கொண்ட UEFI ஃபார்ம்வேர் பல பெரிய நிறுவனங்களில் பயன்படுத்தப்படுகிறதுகள், கிளவுட் வழங்குநர்கள், தரவு மையங்கள் மற்றும் கம்ப்யூட்டிங் கிளஸ்டர்கள். குறிப்பாக, பாதிக்கப்படக்கூடிய தொகுதி PXE துவக்க செயலாக்கத்துடன் NetworkPkg பயன்படுத்தப்படுகிறது மென்பொருள் உருவாக்கியது ARM, Insyde மென்பொருள், அமெரிக்கன் Megatrends, Phoenix Technologies (SecureCore), Intel, Dell மற்றும் Microsoft.

மேலும் பாதிப்புகள் ChromeOS இயங்குதளத்தை பாதிக்கும் என நம்பப்பட்டது, இது களஞ்சியத்தில் EDK2 தொகுப்பைக் கொண்டுள்ளது, ஆனால் Chromebookகளுக்கான ஃபார்ம்வேரில் இந்தத் தொகுப்பு பயன்படுத்தப்படவில்லை என்றும் ChromeOS இயங்குதளம் சிக்கலால் பாதிக்கப்படவில்லை என்றும் Google கூறியது.

ஒரு பொதுவான தாக்குதல் காட்சியானது உள்ளூர் நெட்வொர்க்கில் போக்குவரத்தை கண்காணித்தல் மற்றும் PXE இல் கணினி துவக்கம் தொடர்பான செயல்பாடு கண்டறியப்படும்போது சிறப்பாக வடிவமைக்கப்பட்ட பாக்கெட்டுகளை அனுப்புவதை உள்ளடக்கியது. பதிவிறக்க சேவையகம் அல்லது DHCP சேவையகத்திற்கான அணுகல் தேவையில்லை. தாக்குதல் நுட்பத்தின் விளக்கமாக, முன்மாதிரி சுரண்டல்கள் வெளியிடப்பட்டுள்ளன.

அடையாளம் காணப்பட்ட பாதிப்புகள்:

  • சி.வி.இ -2023-45230: DHCPv6 கிளையன்ட் குறியீட்டில் இடையக வழிதல், மிக நீளமான சர்வர் ஐடியை அனுப்புவதன் மூலம் பயன்படுத்தப்படுகிறது (சர்வர் ஐடி விருப்பம்).
  • சி.வி.இ -2023-45234: DHCPv6 சேவையகத்தின் இருப்பை அறிவிக்கும் செய்தியில் அனுப்பப்பட்ட DNS சேவையக அளவுருக்கள் கொண்ட விருப்பத்தை செயலாக்கும்போது இடையக வழிதல் ஏற்படுகிறது.
  • சி.வி.இ -2023-45235: DHCPv6 ப்ராக்ஸி விளம்பர செய்திகளில் சர்வர் ஐடி விருப்பத்தை செயலாக்கும்போது இடையக வழிதல்.
  • சி.வி.இ -2023-45229: DHCP சேவையகத்தை விளம்பரப்படுத்தும் DHCPv6 செய்திகளில் IA_NA/IA_TA விருப்பங்களை செயலாக்கும்போது ஏற்படும் முழு எண் கீழ்ப்பாய்வு ஆகும்.
  • சி.வி.இ -2023-45231: துண்டிக்கப்பட்ட விருப்ப மதிப்புகளுடன் ND (Neighbour Discovery) வழிமாற்று செய்திகளை செயலாக்கும்போது இடையகத்திற்கு வெளியே தரவு கசிவு ஏற்படுகிறது.
  • சி.வி.இ -2023-45232: இலக்கு விருப்பங்கள் தலைப்பில் தெரியாத விருப்பங்களை பாகுபடுத்தும் போது எல்லையற்ற வளையம் ஏற்படுகிறது.
  • சி.வி.இ -2023-45233: பாக்கெட் ஹெடரில் உள்ள PadN விருப்பத்தை பாகுபடுத்தும் போது ஒரு எல்லையற்ற வளையம் ஏற்படுகிறது.
  • சி.வி.இ -2023-45236: TCP இணைப்பை இயக்க யூகிக்கக்கூடிய TCP வரிசை விதைகளைப் பயன்படுத்துதல்.
  • சி.வி.இ -2023-45237: யூகிக்கக்கூடிய மதிப்புகளை உருவாக்கும் நம்பகமற்ற சூடோராண்டம் எண் ஜெனரேட்டரின் பயன்பாடு.

என்று குறிப்பிடப்பட்டுள்ளது பாதிப்புகள் CERT/CCக்கு ஆகஸ்ட் 3, 2023 அன்று சமர்ப்பிக்கப்பட்டன மற்றும் வெளியீட்டு தேதி நவம்பர் 2 அன்று திட்டமிடப்பட்டது. இருப்பினும், பல விற்பனையாளர்களிடையே ஒருங்கிணைக்கப்பட்ட பேட்ச் வெளியீட்டின் தேவையின் காரணமாக, வெளியீட்டுத் தேதி ஆரம்பத்தில் டிசம்பர் 1 க்கு தாமதமானது, பின்னர் டிசம்பர் 12 மற்றும் டிசம்பர் 19, 2023 க்கு தள்ளப்பட்டது, ஆனால் இறுதியில் இந்த மாதம் ஜனவரி 2024 வரை வெளியிடப்பட்டது. அதே நேரத்தில், மைக்ரோசாப்ட் தகவல் வெளியிடுவதை மே மாதம் வரை ஒத்திவைக்கச் சொன்னது.

இறுதியாக, அதைப் பற்றி மேலும் தெரிந்து கொள்ள நீங்கள் ஆர்வமாக இருந்தால், நீங்கள் விவரங்களை அணுகலாம் பின்வரும் இணைப்பு.


உங்கள் கருத்தை தெரிவிக்கவும்

உங்கள் மின்னஞ்சல் முகவரி வெளியிடப்பட்ட முடியாது. தேவையான புலங்கள் குறிக்கப்பட்டிருக்கும் *

*

*

  1. தரவுக்கு பொறுப்பு: மிகுவல் ஏஞ்சல் கேடன்
  2. தரவின் நோக்கம்: கட்டுப்பாட்டு ஸ்பேம், கருத்து மேலாண்மை.
  3. சட்டபூர்வமாக்கல்: உங்கள் ஒப்புதல்
  4. தரவின் தொடர்பு: சட்டபூர்வமான கடமையால் தவிர மூன்றாம் தரப்பினருக்கு தரவு தெரிவிக்கப்படாது.
  5. தரவு சேமிப்பு: ஆக்சென்டஸ் நெட்வொர்க்குகள் (EU) வழங்கிய தரவுத்தளம்
  6. உரிமைகள்: எந்த நேரத்திலும் உங்கள் தகவல்களை நீங்கள் கட்டுப்படுத்தலாம், மீட்டெடுக்கலாம் மற்றும் நீக்கலாம்.