Extreme Privilege Escalation: Lücke in UEFI gefährdet Windows-8-PCs

Intels Referenzimplementierung für UEFI weist zwei gefährliche Sicherheitslücken auf, die in Windows 8 durch die Einführung einer neuen API zu einer Ausweitung der Rechte genutzt werden können. Der Vorgang ist seit Monaten als „Extreme Privilege Escalation“ bekannt und noch immer eine Gefahr für PCs weltweit.

Die von Forschern der Mitre-Corporation, einer Abspaltung des Massachusetts Institute of Technology (MIT), im August öffentlich gemachten Lücken (PDF) ermöglichen Angreifern Zugriff auf das UEFI-Bios, in dem daraufhin Malware wie beispielsweise Rootkits deponiert werden können. Die Schwachstellen sind als CVE-2014-4859 und CVE-2014-4860 katalogisiert. Auch das Computer Emergency Response Team (CERT) bei Homeland Security warnt vor der Gefahr.

Durch die Update-Funktion des UEFI-Bios, auf die auch Windows 8 Zugriff hat, können über die Variable CapsuleUpdateData an zwei Stellen Integer Overflows ausgelöst werden, die dann Zugriff auf einen durch die Variable definierten Speicherbereich erlauben. Angreifer können auf diesem Weg das Ring-Modell, in dem die Privilegien geregelt sind, austricksen und von Admin Ring 3 auf der Applikationsebene weit über die Kernelebene in Ring 0 hinaus bis in den Bootloader und das Bios gelangen. Hier kann dann Code eingeschleust werden, ohne dass dafür eine Signatur notwendig ist.

Intel bietet bereits seit dem Frühjahr Bios-Updates für viele betroffene Produkte an, die die Variablen vor Zugriff schützen. Die großen PC-Hersteller ziehen erst jetzt nach. So hat HP Aktualisierungen für 1.500 Produkte vom Notebook bis zum Kassensystem zur Verfügung gestellt. Auch Lenovo bietet Updates für viele Produkte, während die von Dell verwendete Umsetzung von Intels UEFI-Implementation nicht betroffen ist. Trotzdem rät das Unternehmen für einige seiner Produkte zu einem Bios-Update. Eine aktuelle Nachfrage von Heise online bei verschiedenen Mainboardherstellern zu deren Aktualisierungspolitik blieb vorerst ohne Antwort.