Binarly REsearch alerte sur les failles LogoFAIL

Binarly REsearch, une société spécialisée dans la sécurisation de la chaîne d’approvisionnement des firmwares, a alerté, le 29 novembre 2023, sur une série de vulnérabilités baptisées LogoFAIL. Elles affectent l’exécution de l’UEFI (« Unified Extensible Firmware Interface »), une interface entre le firmware et l’OS d’un ordinateur utilisé sur de nombreuses cartes-mères.

Durant le démarrage d’un ordinateur, des logos peuvent apparaître, souvent ceux de son fabricant. De nombreux constructeurs utilisent pour les afficher des analyseurs d’images UEFI. Ces derniers s’exécutent au tout début du processus de démarrage, quand la plupart des cyberdéfenses ne sont pas actives. Or les éditeurs de ces analyseurs d’images, mis au point voici de très nombreuses années, les ont peu mis à jour.

Binarly REsearch a donc relevé 29 failles de sécurité sur ces analyseurs, permettant notamment de remplacer une image de logo par une copie contenant un malware. 15 de ces 29 vulnérabilités permettent ainsi l’exécution de code arbitraire durant la phase « Driver Execution Environment », avant que l’OS ne se lance. Un attaquant peut alors prendre « le contrôle total de la mémoire et du disque de l’appareil cible, y compris l’OS qui sera démarré », précise Binarly REsearch.

Ces failles sont d’autant plus problématiques qu’elles touchent un grand nombre d’ordinateurs. Tous les appareils utilisant des analyseurs d’un des trois géants de la fourniture de BIOS, AMI, Insyde et Phoenix, sont ainsi vulnérables. Mais d’autres processeurs fondés sur des architectures x64, x84 ou ARM le sont également.

En revanche, les vulnérabilités LogoFAIL ne touchent pas les appareils qui se passent de l’UEFI, comme les smartphones ou les Mac. Même les Mac Intel, qui utilisent pourtant l’UEFI, ne risquent rien, car Apple a codé en dur leurs fichiers d’image, si bien qu’ils ne peuvent être remplacés. La plupart des ordinateurs Dell sont également protégés par une fonctionnalité empêchant ce remplacement.

Les mises à jour de sécurité corrigeant les vulnérabilités LogoFAIL devraient être disponibles d’ici la fin de l’année 2023, ou durant le premier trimestre 2024.