Mehrere Hundert ausführbare (EFI-)Programme enthalten die mehr als 20 Megabyte Binärcode eines modernen UEFI-BIOS. Viele davon enthalten Sicherheitslücken, von denen einige schon seit Jahren bekannt sind. Experten der Firma Binarly haben das am Beispiel eines aktuellen BIOS-Updates für ein Business-Notebook aus der Baureihe Lenovo ThinkPad belegt.

Den BIOS-Binärcode haben die Binarly-Gründer Alex Matrosov und Claudiu Teodorescu gezielt nach Varianten des Open-Source-Tools OpenSSL durchsucht. Im offengelegten EFI Design Kit II (EDK 2) dient OpenSSL, welches die Quellcode-Basis vieler UEFI-BIOS-Implementierungen bildet, als Allzweck-Werkzeug für kryptrografische Sicherheitsfunktionen. Unter anderem dient das UEFI-Codemodul Crypto Package (CryptoPkg) als Wrapper für OpenSSL-Funktionen.

In dem untersuchten BIOS-Image, das Lenovo auch über den Linux Vendor Firmware Service (LVFS) bereitstellt, fanden die Binarly-Experten 27 Funktionen mit drei verschiedenen OpenSSL-Versionen. OpenSSL 1.0.2j aus dem Jahr 2018 befand sich in den meisten. Allerdings fanden sich auch OpenSSL 1.0.0a und 0.9.8zb aus dem Jahr 2014.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE