【活用ガイド】

JVNDB-2017-005602

GIGABYTE BRIX のファームウェア保護機能に複数の脆弱性

概要

GIGABYTE BRIX プラットフォームには、ファームウェアの書込みを保護する BIOSWE、BLE、SMM_BWP、PRx ビットが適切に設定されていない問題およびファームウェアアップデートが署名されていない問題が存在します。これらの問題を使用することで、ファームウェアレベルでルートキットを実行したり、システムへの永続的なサービス運用妨害 (DoS) 攻撃を実行したりすることが可能です。

保護メカニズムの不具合 (CWE-693) - CVE-2017-3197
GIGABYTE BRIX プラットフォームには、ファームウェアの書込みを保護する BIOSWE、BLE、SMM_BWP、PRx ビットが適切に設定されていない問題が存在します。結果として、SPI flash が改ざんされる可能性があります。

データの信頼性についての不十分な検証 (CWE-345) - CVE-2017-3198
GIGABYTE BRIX の UEFI ファームウェアアップデートは、署名されていません。また、チェックサムがない状態でサポートページから HTTP 経由で提供されています。結果として、ファームウェアを改ざんされても、検知することができません。

詳しくは、Cylance のアドバイザリ CLVA-2017-01-001 および CLVA-2017-01-002 を参照してください。

CLVA-2017-01-001
https://github.com/CylanceVulnResearch/disclosures/blob/master/CLVA-2017-01-001.md

CLVA-2017-01-002
https://github.com/CylanceVulnResearch/disclosures/blob/master/CLVA-2017-01-002.md
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.0 (重要) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.6 (危険) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的

分析結果のコメント：
細工されたファームウェアアップデートを、ユーザが自ら適用することを想定しています。
影響を受けるシステム


GIGABYTE Technology Co., Ltd.
  • GIGABYTE BRIX GB-BSi7H-6500 (UEFI ファームウェアバージョン F6)
  • GIGABYTE BRIX GB-BXi7-5775 (UEFI ファームウェア バージョン F2)

想定される影響

攻撃者によって、ファームウェアレベルでルートキットを実行されたり、システムへの永続的なサービス運用妨害 (DoS) 攻撃を実行されたりする可能性があります。
対策

2017年4月3日現在、対策方法は不明です。

開発者によると、本問題を解消する、GB-BSi7H-6500 用のファームウェアバージョン F7 が 4月中にリリースされるとのことです。
ユーザは、製品ページを定期的に確認することをお勧めします。

製品ページ
http://www.gigabyte.us/Mini-PcBarebone/GB-BSi7H-6500-rev-10#ov

また、GB-BXi7-5775 はサポート終了 (EOL) が宣言されており、ファームウェアの更新は行われないとのことです。
ベンダ情報

GIGABYTE Technology Co., Ltd.
CWEによる脆弱性タイプ一覧  CWEとは?

  1. データの信頼性についての不十分な検証(CWE-345) [IPA評価]
  2. 保護メカニズムの不具合(CWE-693) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2017-3197
  2. CVE-2017-3198
参考情報

  1. JVN : JVNVU#90556561
  2. National Vulnerability Database (NVD) : CVE-2017-3197
  3. National Vulnerability Database (NVD) : CVE-2017-3198
  4. US-CERT Vulnerability Note : VU#507496
更新履歴

  • [2017年08月02日]
      掲載
  • [2019年07月11日]
      参考情報：National Vulnerability Database (NVD) (CVE-2017-3197) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2017-3198) を追加

公表日2017/03/31
登録日2017/08/02
最終更新日2017/08/02