{"id":179018,"date":"2016-07-03T23:26:10","date_gmt":"2016-07-03T21:26:10","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=179018"},"modified":"2017-12-09T17:01:46","modified_gmt":"2017-12-09T16:01:46","slug":"schwachstelle-bios-bug-in-lenovo-system-management-mode","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/07\/03\/schwachstelle-bios-bug-in-lenovo-system-management-mode\/","title":{"rendered":"Schwachstelle per BIOS-Bug im (Lenovo) System Management Mode"},"content":{"rendered":"

Zum Wochenstart mal wieder eine Warnung an Besitzer von Lenovo-Ger\u00e4ten. Es wurde eine Sicherheitsl\u00fccke im \"BIOS\" entdeckt, die problematisch werden k\u00f6nnte. Update:<\/strong> Wie es ausschaut, kann der fehlerhafte Code im System Management Mode auch bei BIOS\/UEFI-Implementierungen anderer Hersteller enthalten sein. <\/p>\n

<\/p>\n

Die Lenovo System Management Mode-Schwachstelle<\/h3>\n

\"\"Der Hersteller warnt<\/a> vor einer ungepatchten Schwachstelle im System Management Mode (SMM) des BIOS. Anwender mit lokalen Administratorrechten k\u00f6nnen Code \u00fcber den System Management Mode ausf\u00fchren, der direkten Zugriff auf die Hardware (am Betriebssystem vorbei) erh\u00e4lt. Einige zus\u00e4tzliche Infos finden hier bei heise.de<\/a>. Die Vermutung, dass es sich m\u00f6glicherweise um eine \"Backdoor\" handelt, l\u00e4sst sich zwar nicht entkr\u00e4ften \u2013 aber die nachfolgenden Ausf\u00fchrungen gehen in eine andere Richtung.<\/p>\n

\n

Hier noch eine (unvollst\u00e4ndige) Liste der betroffenen Lenovo-Ger\u00e4te: T440, T440p, T440s, T440u, T450, T450s, T540, T540p, T550, W540, W541, W550s, X1 Carbon (20Ax and 20Bx), X240, X240s, X250 and Yoga 15 \/ S5 Yoga<\/p>\n<\/blockquote>\n

Update: Auch andere Hersteller betroffen<\/h3>\n

Der System Management Mode<\/a> (SMM) ist (laut Wikipedia) ein Ausf\u00fchrungsmodus f\u00fcr Intel-Prozessoren und f\u00fcr die Hardware-Kontrolle, das Energiemanagement und herstellerspezifische Anwendungen gedacht. Bei Wikipedia kann man auch folgendes Zitat lesen:<\/p>\n

\n

Da die Ausf\u00fchrung im SMM f\u00fcr das Betriebssystem und die laufenden Anwendungen (wie beispielsweise Virenscanner) nicht sichtbar ist, stellt der SMM einen erstrebenswerten Betriebsmodus f\u00fcr Schadsoftware dar.<\/p>\n<\/blockquote>\n

Und bei heise.de habe ich bei der Suche einen aus 2015 stammenden Beitrag Programmier-Tipps f\u00fcr die BIOS-Backdoor<\/a> gefunden, der sich lange vor der jetzigen Lenovo-Warnung mit den Problemen des SMM befasst. So viel als Hintergrundinformation. <\/p>\n

Der SMM-Fehler wurde in diesem Blog-Beitrag<\/a> beschrieben. Soweit ich es beim Querlesen erfasst habe, ist das Problem, dass es eine SMM Callback-Funktion im BIOS\/UEFI gibt. Dies f\u00fchrt beim Entdecker zur Spekulation, das es sich um eine Backdoor handeln k\u00f6nnte. Aber er f\u00fchrt auch aus, dass (falls das zutrifft) diese wohl nicht durch Lenovo eingebaut worden ist. Die \"Backdoor\" bzw. die betreffende SMM-Funktion SmmRuntimeManagementCallback() <\/em>ist \u00fcbrigens in diesem Code-Auszug<\/a> beschrieben. <\/p>\n

Im Blog-Beitrag<\/a> wird auch das Feature \"Boot Guard\" (Intel) angesprochen und ausgef\u00fchrt, dass andere Hersteller ebenfalls betroffen sind. Das geht auch aus der urspr\u00fcnglichen Lenovo-Warnung hervor:<\/p>\n

Lenovo Security Advisory<\/strong>:  LEN-8324
Potential Impact:<\/strong>  Execution of code in SMM by an attacker with local administrative access
Severity:  <\/strong>High
Scope of Impact: <\/strong>Industry-wide<\/u> <\/p>\n

Fehler aus Intel SDK in UEFI-Implementierungen \u00fcbernommen?<\/h3>\n<\/p>\n

In diesem heise.de-Forenkommentar<\/a> finden sich noch einige Hintergrundinformationen. Zitat aus dem Kommentar:<\/p>\n

\n

Urspr\u00fcnglich wurde die L\u00fccke wohl in der Firma von diesen Intel-Edison-Boards mit Quark-SoC gefunden, und danach hat der Finder dann gemerkt, dass die Firmware seines eigenen Thinkpads f\u00fcr dieselbe L\u00fccke ebenfalls verwundbar ist. Sind aber wohl ebenfalls Ger\u00e4te anderer Hersteller betroffen, beispielsweise ein HP-Laptop-Modell von 2010 mit nem Intel HM55-Chipsatz (genauer: HP dv7 4087cl).<\/p>\n<\/blockquote>\n

Interessant ist aber auch, dass diese L\u00fccke in einem (nicht-\u00f6ffentlichen) SDK von Intel zu finden war und durch das Unternehmen bereits 2014 gefixt wurde (siehe auch hier<\/a>). Da Intel nie ein Advisory zu diesem Problem rausgegeben hat, d\u00fcrfte der Fehler in diversen UEFI-Implementierungen diverser Hersteller zu finden sein. <\/p>\n

Der Entdecker der L\u00fccke hat ein Exploit bei Github ver\u00f6ffentlicht. Aber die Angreifer brauchen Zugriff auf den betreffenden Rechner. Was aber bei Industriespionage oder \u00e4hnliche \u00dcberwachungsaufgaben kein wirkliches Hindernis darstellen d\u00fcrfte. Einige Infos zu der angerissenen Technik \"Boot Guard\" finden sich in diesem Kommentar<\/a> bei heise.de.<\/p>\n

Unter dem Strich bleibt f\u00fcr mich nur folgendes Fazit: Mit neueren Hardware-Generationen kommen immer mehr Schweinereien ins System, wo Du als Nutzer kaum eine Ahnung hast. Und die OEMs nutzen diese Features f\u00fcr allerlei Schweinereien (siehe auch folgende Artikel).<\/p>\n

\u00c4hnliche Artikel:<\/strong>
Backdoor 'Windows Platform Binary Table' (WPBT)<\/a>
Windows 10, Autotreiber-\u00c4rger und Intel \"Board-Intelligenz\"<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Zum Wochenstart mal wieder eine Warnung an Besitzer von Lenovo-Ger\u00e4ten. Es wurde eine Sicherheitsl\u00fccke im \"BIOS\" entdeckt, die problematisch werden k\u00f6nnte. Update: Wie es ausschaut, kann der fehlerhafte Code im System Management Mode auch bei BIOS\/UEFI-Implementierungen anderer Hersteller enthalten sein.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[1105,4328],"class_list":["post-179018","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-lenovo","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/179018","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=179018"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/179018\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=179018"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=179018"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=179018"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}