UEFI-Sourcecode von AMI im Netz
UEFI-Sourcecode von AMI im Netz (Bild: Adam Caudill)

AMI Sourcecode von UEFI-Firmware samt privatem Schlüssel im Netz

Der Sicherheitsforscher Adam Caudill ist über einen offenen FTP-Server in Taiwan gestolpert, der neben diversen privaten Daten auch den Quellcode von UEFI-Firmware von American Megatrends samt dem privaten Schlüssel zum Signieren enthalten hat.

Anzeige

Unter der Überschrift "Security Done Wrong" berichtet der Sicherheitsforscher Adam Caudill über einen Zufallsfund im Netz: Es handelt sich um einen offenen FTP-Server in Taiwan, auf dem er in einem 'Ivy Bridge' benannten Archiv verschiedene Versionen einer AMI-Firmware fand, zusammen mit dem privaten Schlüssel zum Signieren dieser Firmware.

Mit Hilfe des Firmware-Quellcodes und des privaten Schlüssels sei es für Dritte recht einfach, UEFI-Updates mit Schadroutinen zu erstellen, die sich auf Systemen mit der Originalfirmware korrekt installieren ließen. Da Nutzer eher selten UEFI-Firmware aktualisierten, so Caudill, sei damit zu rechnen, dass die Sicherheitslücke längere Zeit offen bleibe. Entdecken lasse sich solche Schadsoftware kaum.

Der Firmware-Code sei zudem recht aktuell, im Kopf tauche ein Copyright-Hinweis aus dem Jahr 2012 auf. Caudill geht davon aus, dass der Code aus dem Februar stammt.

Caudill hat den Hersteller und den Betreiber des FTP-Servers informiert. Den Namen des Herstellers und die Adresse des FTP-Servers will er nicht nennen.


Thaodan 08. Apr 2013

Genau das Ding tut mehr als es soll, wenn man mehr will von Haus aus kann man auch ein...

eGeist 08. Apr 2013

Natürlich liest man hier und dort "gefährliches" Halbwissen, aber hättest DU wenigstens...

SaSi 07. Apr 2013

selbstschutz lass ich gelten... user schützen: sorry, geht kompetenter! wenn man schon...

Casandro 07. Apr 2013

Naja, die Idee hinter "Secure" Boot ist, dass niemand das UEFI verändern kann, und dass...

redmord 07. Apr 2013

Das musst du zumindest mir etwas genauer erläutern. In dem zweiten Artikel wird meiner...

Kommentieren




Anzeige

  1. Softwareentwickler für mobile und Web-Applikationen (m/w)
    g/d/p Marktanalysen GmbH, Hamburg
  2. Projektmitarbeiter / -manager (m/w) mit Schwerpunkt IT-Sicherheit
    PSI AG, Aschaffenburg
  3. Oracle Datenbank & Infrastruktur Consultant (m/w)
    über 3C - Career Consulting Company GmbH, München, Freiburg, Stuttgart oder Düsseldorf
  4. Senior Business Analyst - Simulation & Systems Engineering, IT Services (m/w)
    Bombardier Transportation, Berlin

 

Detailsuche


Folgen Sie uns
       


  1. Streaming-Dienst

    Netflix-App für Amazons Fire TV ist da

  2. Pilot tot

    Spaceship Two stürzt in der Mojave-Wüste ab

  3. Bewegungsprofile

    Dobrindt wegen "Verkehrs-Vorratsdatenspeicherung" kritisiert

  4. Anonymisierung

    Facebook ist im Tor-Netzwerk erreichbar

  5. Spielekonsole

    Neuer 20-nm-Chip für sparsamere Xbox One ist fertig

  6. Günther Oettinger

    EU-Digitalkommissar will Urheberrechtssteuer für alle

  7. Ruhemodus

    Noch ein Bug in Firmware 2.0 der Playstation 4

  8. VDSL2-Nachfolgestandard

    Telekom-Konkurrenten starten G.fast-Praxistest

  9. Ego-Shooter

    Bethesda hat Prey 2 eingestellt

  10. Keine Bußgelder

    Sicherheitslücken bleiben ohne Strafen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Legale Streaming-Anbieter im Test: Netflix allein macht auch nicht glücklich
Legale Streaming-Anbieter im Test
Netflix allein macht auch nicht glücklich
  1. Netflix-Statistik Die Schweiz streamt am schnellsten
  2. Deutsche Telekom Entertain ab dem 14. Oktober mit Netflix
  3. HTML5-Videostreaming Netflix bietet volle Linux-Unterstützung

Windows 10 Technical Preview ausprobiert: Die Sonne scheint aufs Startmenü
Windows 10 Technical Preview ausprobiert
Die Sonne scheint aufs Startmenü
  1. Oneget Paketmanager von Microsoft für Windows 10
  2. Build 9860 Windows 10 jetzt mit Info-Center für Benachrichtigungen
  3. Microsoft Neue Fensteranimationen für Windows 10

Data Management: Wie Hauptspeicherdatenbanken arbeiten
Data Management
Wie Hauptspeicherdatenbanken arbeiten

    •  / 
    Zum Artikel