Abo
  • Services:

AMI: Sourcecode von UEFI-Firmware samt privatem Schlüssel im Netz

Der Sicherheitsforscher Adam Caudill ist über einen offenen FTP-Server in Taiwan gestolpert, der neben diversen privaten Daten auch den Quellcode von UEFI-Firmware von American Megatrends samt dem privaten Schlüssel zum Signieren enthalten hat.

Artikel veröffentlicht am ,
UEFI-Sourcecode von AMI im Netz
UEFI-Sourcecode von AMI im Netz (Bild: Adam Caudill)

Unter der Überschrift "Security Done Wrong" berichtet der Sicherheitsforscher Adam Caudill über einen Zufallsfund im Netz: Es handelt sich um einen offenen FTP-Server in Taiwan, auf dem er in einem 'Ivy Bridge' benannten Archiv verschiedene Versionen einer AMI-Firmware fand, zusammen mit dem privaten Schlüssel zum Signieren dieser Firmware.

Stellenmarkt
  1. Hirschvogel Komponenten GmbH, Schongau
  2. Landesbetrieb IT.Niedersachsen, Hannover

Mit Hilfe des Firmware-Quellcodes und des privaten Schlüssels sei es für Dritte recht einfach, UEFI-Updates mit Schadroutinen zu erstellen, die sich auf Systemen mit der Originalfirmware korrekt installieren ließen. Da Nutzer eher selten UEFI-Firmware aktualisierten, so Caudill, sei damit zu rechnen, dass die Sicherheitslücke längere Zeit offen bleibe. Entdecken lasse sich solche Schadsoftware kaum.

Der Firmware-Code sei zudem recht aktuell, im Kopf tauche ein Copyright-Hinweis aus dem Jahr 2012 auf. Caudill geht davon aus, dass der Code aus dem Februar stammt.

Caudill hat den Hersteller und den Betreiber des FTP-Servers informiert. Den Namen des Herstellers und die Adresse des FTP-Servers will er nicht nennen.



Anzeige
Spiele-Angebote
  1. 6,66€
  2. 16,99€
  3. + Prämie (u. a. Far Cry 5, Elex, Assassins Creed Origins) für 62€
  4. 4,44€

Thaodan 08. Apr 2013

Genau das Ding tut mehr als es soll, wenn man mehr will von Haus aus kann man auch ein...

eGeist 08. Apr 2013

Natürlich liest man hier und dort "gefährliches" Halbwissen, aber hättest DU wenigstens...

SaSi 07. Apr 2013

selbstschutz lass ich gelten... user schützen: sorry, geht kompetenter! wenn man schon...

Casandro 07. Apr 2013

Naja, die Idee hinter "Secure" Boot ist, dass niemand das UEFI verändern kann, und dass...

redmord 07. Apr 2013

Das musst du zumindest mir etwas genauer erläutern. In dem zweiten Artikel wird meiner...


Folgen Sie uns
       


Byton K-Byte - Bericht

Byton stellt in China den K-Byte vor.

Byton K-Byte - Bericht Video aufrufen
Garmin im Hands on: Alle Fenix 5 Plus bieten Musik und Offlinenavigation
Garmin im Hands on
Alle Fenix 5 Plus bieten Musik und Offlinenavigation

Selbst das kleinste Modell der Fenix 5 von Garmin verfügt in der neuen Plus-Version über 16 GByte statt über 64 MByte internem Speicher. Der wird für Musik und Offlinekarten mit frischen Ideen genutzt - Golem.de hat die Sportuhren im Hands on ausprobiert.


    Urheberrrecht: Etappensieg für Leistungsschutzrecht und Uploadfilter
    Urheberrrecht
    Etappensieg für Leistungsschutzrecht und Uploadfilter

    Trotz aller Proteste: Der Rechtsausschuss des Europaparlaments votiert für ein Leistungsschutzrecht und Uploadfilter. Nun könnte das Plenum sich noch dagegenstellen.

    1. Urheberrecht EU-Staaten für Leistungsschutzrecht und Uploadfilter
    2. EU-Urheberrechtsreform Wie die Affen auf der Schreibmaschine
    3. Leistungsschutzrecht VG Media darf Google weiterhin bevorzugen

    Sun to Liquid: Wie mit Sonnenlicht sauberes Kerosin erzeugt wird
    Sun to Liquid
    Wie mit Sonnenlicht sauberes Kerosin erzeugt wird

    Wasser, Kohlendioxid und Sonnenlicht ergeben: Treibstoff. In Spanien wird eine Anlage in Betrieb genommen, in der mit Hilfe von Sonnenlicht eine Vorstufe für synthetisches Kerosin erzeugt oder Wasserstoff gewonnen wird. Ein Projektverantwortlicher vom DLR hat uns erklärt, warum die Forschung an Brennstoffen trotz Energiewende sinnvoll ist.
    Ein Bericht von Werner Pluta

    1. Deep Sea Mining Deep Green holte Manganknollen vom Meeresgrund
    2. Klimaschutz Unter der Erde ist das Kohlendioxid gut aufgehoben
    3. Physik Maserlicht aus Diamant

      •  /