Download
Beveilingsadvies; NCSC-2023-0235
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Firmware- en Intel Boot Guard-keys uitgelekt bij
ransomware-aanval op MSI
Advisory ID : NCSC-2023-0235
Versie : 1.00
Kans : low
CVE ID :
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Uitgiftedatum : 20230510
Toepassing : Intel Boot Guard
MSI-systemen
Versie(s) :
Platform(s) :
Beschrijving
Eind maart is hardwarefabrikant MSI getroffen door een
ransomware-aanval. Als gevolg van deze ransomware-aanval zijn
volgens beveiligingsbedrijf Binarly private keys uitgelekt die
worden gebruikt voor het digitaal ondertekenen van firmware voor
moederborden. Tevens zijn private keys gecompromitteerd die door
Intel Boot Guard worden gebruikt.
Intel Boot Guard is technologie die door Intel is ontwikkeld. Intel
Boot Guard verifieert tijdens het opstartproces van een systeem of
de firmware van een moederbord digitaal door de leverancier is
ondertekend. Het uitlekken van MSI's Intel Boot Guard- en
firmware-keys stelt een kwaadwillende in staat om zelf malafide
firmware te ondertekenen. Een kwaadwillende met (in beginsel lokale)
toegang tot een kwetsbaar systeem kan deze firmware vervolgens
installeren en uitvoeren. De kwaadwillende krijgt hiermee vergaande
toegang tot het systeem waarbij alle bovenliggende
beveiligingsmaatregelen worden omzeild. De kwaadwillende krijgt
zodoende bijvoorbeeld toegang tot gegevens die op het systeem staan
opgeslagen of kan de toegang gebruiken voor het uitvoeren van
verdere aanvallen.
Chipfabrikant Intel heeft aan het NCSC laten weten dat de gelekte
private keys MSI-specifiek zijn en dus alleen voor MSI-systemen
kunnen worden gebruikt. Moederborden van MSI zijn echter mogelijk
verwerkt in producten van andere leveranciers. Daardoor kan misbruik
van de gelekte keys dus mogelijk ook op deze systemen plaatsvinden.
Zie "Mogelijke oplossingen" voor meer informatie over getroffen
systemen.
Omdat succesvol misbruik technisch complex is en in beginsel lokale
toegang tot een kwetsbaar systeem vereist, acht het NCSC de kans op
misbruik klein. Het is echter niet ondenkbaar dat de gelekte keys
bij gerichte aanvallen zullen worden misbruikt. Bij het NCSC zijn
vooralsnog geen signalen over misbruik van het gelekte
sleutelmateriaal bekend.
Mogelijke oplossingen
Vooralsnog zijn door MSI en Intel geen definitieve oplossingen
gedeeld. Organisaties kunnen de volgende, algemene maatregelen
treffen om de kans op misbruik te verkleinen:
* Zorg ervoor dat de basisbeveiligingsmaatregelen in uw IT-omgeving
op orde zijn. Zorg bijvoorbeeld dat systemen van de laatste
beveiligingsupdates zijn voorzien, maak gebruik van
antivirus-oplossingen en pas netwerksegmentatie toe.
* Beperk de opstartmogelijkheden vanaf verwisselbare media zoals
USB-sticks en CD-roms. Dit bemoeilijkt het installeren van malafide
firmware wanneer een kwaadwillende fysieke toegang tot een systeem
heeft.
Binarly heeft twee (beperkte) overzichten met potentieel getroffen
producten gepubliceerd. Deze overzichten zijn indicatief en niet
door het NCSC geverifieerd. Organisaties die gebruikmaken van
MSI-systemen of producten die in de overzichten van Binarly
voorkomen, worden geadviseerd contact op te nemen met hun
leverancier voor meer informatie en concreet handelingsperspectief.
De overzichten met getroffen systemen zijn te vinden op de volgende
pagina's:
https://github.com/binarly-io/SupplyChainAttacks/blob/main/MSI
/MsiImpactedDevices.md
https://github.com/binarly-io/SupplyChainAttacks/blob/main/MSI
/IntelOemKeyImpactedDevices.md
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=mM5q
-----END PGP SIGNATURE-----
