启动小鬼:操作系统还没上场,机器就可能失守
1. Boot Gremlins
TianoCore 10 月 22 日发布安全公告,披露 EDK II 中的一个漏洞——这是一套用于构建启动固件的开源代码。能在网络启动阶段投递恶意数据包的攻击者,可借此破坏内存并执行代码。
Ars Technica 报道称受影响的参考代码使用极广;但公告与公开提出的修复,并不能说明哪些成品机器已拿到厂商更新。
来源:TianoCore 安全公告 · Ars Technica
展开深读 · Read deeper收起深读
关键在于启动时的暴露面:这不是说每台正在运行的服务器都可被远程攻破。
但问题出在多家供应商层层复用的参考代码里,修复要沿着供应链一路传下去,才能落到你机房里那台具体的机器上。
Mike 点出一个尴尬的采购问题:当有漏洞的「原料」来自好几级之前的供应商,修复归谁负责?运营方需要硬件厂商回答:哪些固件受影响、有没有可用更新。操作系统的补丁仪表盘回答不了这个问题——小鬼在仪表盘醒来之前就已经开工了。