La vulnerabilidad PKfail en Secure Boot resulta ser más común de lo esperado

Una vulnerabilidad a gran escala en el sistema de seguridad Secure Boot, denominada PKfail, resultó estar mucho más extendida de lo que se pensaba anteriormente. El problema, denominado PKfail, afecta a cajeros automáticos, terminales de pago, dispositivos médicos, consolas de juegos, servidores corporativos e incluso máquinas de votación. El uso de claves de plataforma de prueba en sistemas de producción durante más de 10 años ha comprometido la seguridad de los dispositivos de los principales fabricantes de la industria.

Los investigadores de Binarly descubrieron que la cantidad de modelos de dispositivos que utilizan claves de prueba de plataforma comprometidas aumentó de 513 a 972. Los fabricantes afectados incluyen Acer, Dell, Gigabyte, Intel, Supermicro, Aopen, Fornelife, Fujitsu, HP y Lenovo. Las claves marcadas como “NO CONFIAR” en los certificados nunca estuvieron destinadas a ser utilizadas en sistemas industriales, pero terminaron integradas en cientos de modelos de dispositivos.

Las claves de plataforma forman una raíz criptográfica de confianza entre el hardware y el firmware. Son la base de Secure Boot, un estándar industrial que proporciona seguridad criptográfica en el entorno previo al arranque de un dispositivo. Integrado en UEFI (Interfaz de firmware extensible unificada), Secure Boot utiliza criptografía de clave pública para bloquear el inicio de cualquier código que no esté firmado con una firma digital aprobada previamente. Poner en peligro estas claves socava toda la cadena de seguridad establecida por Secure Boot.

La situación empeoró tras la publicación de la parte privada de una de las claves de prueba en GitHub en 2022. Esto abrió la posibilidad de llevar a cabo ataques complejos que implicaran la introducción de rootkits en dispositivos UEFI protegidos por Secure Boot. El número de modelos que utilizaban esta clave comprometida en particular aumentó de 215 a 490. En total, los investigadores identificaron alrededor de 20 claves de prueba diferentes, cuatro de las cuales fueron descubiertas recientemente.

Un análisis de 10.095 imágenes de firmware únicas utilizando la herramienta Binarly mostró que el 8% (791 imágenes) contenían claves que no eran de producción. El problema afecta no sólo a los ordenadores personales, sino también a dispositivos médicos, consolas de juegos, servidores corporativos e infraestructura crítica.

Todas las claves descubiertas anteriormente se obtuvieron de AMI, uno de los tres principales proveedores de kits de desarrollo de software (SDK) que los fabricantes de dispositivos utilizan para personalizar el firmware UEFI para que funcione en sus configuraciones de hardware específicas. Desde julio, Binarly ha descubierto claves pertenecientes a los competidores de AMI, Insyde y Phoenix. Binarly también descubrió que los siguientes tres fabricantes también venden dispositivos afectados por PKfail:

• Hardkernel Odroid-H2, Odroid-H3 y Odroid-H4
• Beelink Mini 12 Pro
• Miniforum HX99G

Los ID de vulnerabilidad son CVE-2024-8105 y VU#455367. PKfail no representa una amenaza para los dispositivos que no utilizan Secure Boot, pero socava la seguridad de los sistemas donde se requiere esta protección, como los contratistas gubernamentales y los entornos empresariales.