UEFI-Sourcecode von AMI im Netz
UEFI-Sourcecode von AMI im Netz (Bild: Adam Caudill)

AMI Sourcecode von UEFI-Firmware samt privatem Schlüssel im Netz

Der Sicherheitsforscher Adam Caudill ist über einen offenen FTP-Server in Taiwan gestolpert, der neben diversen privaten Daten auch den Quellcode von UEFI-Firmware von American Megatrends samt dem privaten Schlüssel zum Signieren enthalten hat.

Anzeige

Unter der Überschrift "Security Done Wrong" berichtet der Sicherheitsforscher Adam Caudill über einen Zufallsfund im Netz: Es handelt sich um einen offenen FTP-Server in Taiwan, auf dem er in einem 'Ivy Bridge' benannten Archiv verschiedene Versionen einer AMI-Firmware fand, zusammen mit dem privaten Schlüssel zum Signieren dieser Firmware.

Mit Hilfe des Firmware-Quellcodes und des privaten Schlüssels sei es für Dritte recht einfach, UEFI-Updates mit Schadroutinen zu erstellen, die sich auf Systemen mit der Originalfirmware korrekt installieren ließen. Da Nutzer eher selten UEFI-Firmware aktualisierten, so Caudill, sei damit zu rechnen, dass die Sicherheitslücke längere Zeit offen bleibe. Entdecken lasse sich solche Schadsoftware kaum.

Der Firmware-Code sei zudem recht aktuell, im Kopf tauche ein Copyright-Hinweis aus dem Jahr 2012 auf. Caudill geht davon aus, dass der Code aus dem Februar stammt.

Caudill hat den Hersteller und den Betreiber des FTP-Servers informiert. Den Namen des Herstellers und die Adresse des FTP-Servers will er nicht nennen.


Thaodan 08. Apr 2013

Genau das Ding tut mehr als es soll, wenn man mehr will von Haus aus kann man auch ein...

eGeist 08. Apr 2013

Natürlich liest man hier und dort "gefährliches" Halbwissen, aber hättest DU wenigstens...

SaSi 07. Apr 2013

selbstschutz lass ich gelten... user schützen: sorry, geht kompetenter! wenn man schon...

Casandro 07. Apr 2013

Naja, die Idee hinter "Secure" Boot ist, dass niemand das UEFI verändern kann, und dass...

redmord 07. Apr 2013

Das musst du zumindest mir etwas genauer erläutern. In dem zweiten Artikel wird meiner...

Kommentieren




Anzeige

  1. Quality Engineer (m/w) (Division Payment & Risk)
    Wirecard Technologies GmbH, Aschheim near Munich
  2. Produktsoftwareentwickler Vorentwicklung Cloud / Serverplattform (m/w)
    Robert Bosch Car Multimedia GmbH, Hildesheim
  3. Wirtschaftsinformatiker (m/w) ETL-Consulting
    LucaNet AG, Mönchengladbach
  4. IT-Business-Analyst (m/w)
    Zurich Service GmbH, Frankfurt am Main

 

Detailsuche


Hardware-Angebote
  1. Samsung Ultra-HD-Monitor U28D590D
    339,00€ inkl. Versand über Redcoon
  2. PCGH-Supreme-PC GTX980-Edition
    (Core i7-4790K + Geforce GTX 980)
  3. PCGH-Professional-PC GTX970-Edition
    (Core i7-4790K + Geforce GTX 970)

 

Weitere Angebote


Folgen Sie uns
       


  1. iPhone

    Apple patentiert ansteckbares Gamepad und weiteres Zubehör

  2. KDE Plasma 5.2 erschienen

    Breeze ist überall

  3. Vorratsdatenspeicherung

    EU-Kommission plant keinen neuen Anlauf

  4. Microblogging

    Twitter führt Videofunktion und Gruppennachrichten ein

  5. Spionagesoftware

    Kaspersky enttarnt Regin als NSA-Programm

  6. Lunar-X-Prize

    Google zeichnet Mondfahrer aus

  7. Raumfahrt

    Lightsail segelt mit dem Sonnenwind um die Erde

  8. Nachfrage stagniert

    Foxconn will Arbeitskräfte abbauen

  9. 1 GBit/s

    Google Fiber kommt in vier weitere Städte

  10. Frontier Development

    Vom Weltall auf die Achterbahn



Haben wir etwas übersehen?

E-Mail an news@golem.de



Hör-Spiele: Games ohne Grafik
Hör-Spiele
Games ohne Grafik

IMHO: Zertifizierungen sind der falsche Weg
IMHO
Zertifizierungen sind der falsche Weg
  1. IMHO Video-Netzwerke sind die Plattenfirmen des 21. Jahrhunderts

Erpressung und Geldwäsche: Polizei kommt bei Cybercrime nicht hinterher
Erpressung und Geldwäsche
Polizei kommt bei Cybercrime nicht hinterher
  1. Malware BSI will Zwangstrennung infizierter Rechner vom Internet
  2. Cybercrime Trotz 300 Cyber-Ermittlern bleibt Aufklärungsquote gleich
  3. Cybercrime HP eröffnet Cyber-Abwehrzentrum in Böblingen

    •  / 
    Zum Artikel