CVE-2024-8105
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w implementacjach UEFI, które używają zakodowanego na stałe programowego klucza platformy (PK). Atakujący posiadający odpowiedni klucz prywatny PK może podpisywać dowolne pliki wykonywalne UEFI lub komponenty oprogramowania układowego, co powoduje, że są one uznawane za zaufane przez podatne systemy i potencjalnie omijają walidację zaufania Secure Boot UEFI.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia mechanizmu Secure Boot, co pozwala atakującemu na uruchomienie nieautoryzowanego kodu podczas procesu uruchamiania systemu, co może prowadzić do trwałego przejęcia kontroli nad systemem i instalacji złośliwego oprogramowania na poziomie firmware.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez producentów sprzętu/OEM oraz aktualizację firmware do wersji, która nie używa zakodowanego na stałe klucza PK. Należy również wymusić użycie sprzętowego klucza PK lub odpowiednio zarządzać kluczami platformy.
Oryginalny opis (angielski, źródło NVD)
A vulnerability exists in UEFI implementations that use a hard-coded software-based Platform Key (PK). An attacker in possession of the corresponding PK private key can sign arbitrary UEFI executables or firmware components, causing them to be trusted by affected systems and potentially bypassing UEFI Secure Boot trust validation.