Vulnérabilités dans OVMF

Date de publication :

De multiples vulnérabilités ont été découvertes dans OVMF, une intégration de UEFI pour machines virtuelles. Un attaquant local exploitant celles-ci peut espionner les communications HTTPS de la séquence de démarrage, ainsi que forcer la machine virtuelle à charger des images EFI non-autorisées.

CVE-2019-14553 [Score CVSS v3 : 7.2] : Une vulnérabilité a été découverte dans OVMF. Lors d’un démarrage de la machine virtuelle par HTTPS, le programme accepte des certificats SSL invalides. Un attaquant exploitant cette faille peut donc utiliser son propre certificat et ainsi lire les communications HTTPS.

CVE-2019-14575 [Score CVSS v3 : 7.1] : Une vulnérabilité a été découverte dans OVMF. Lors du démarrage, le processus d’autorisation des images EFI non-signées (basé sur un système de liste blanche et liste noire) comporte une faiblesse où la situation d’une image EFI se trouvant à la fois en liste blanche et en liste noire résulte en l’autorisation inconditionnelle de celle-ci. Un attaquant exploitant cette particularité peut ainsi conduire le système à charger une image EFI non-signée ne devant pas être chargée.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Perte de confidentialité de communications chiffrées
  • Exécution de code non-autorisé

Criticité

  • Score CVSS v3 : 7.2 maximum

Existence d’un code d’exploitation

  • Des informations détaillées sur la nature des failles présentes dans les rapports de bogue permettent de facilement les reproduire.

Composants vulnérables

  • Toutes versions de OVMF avant le commit 1510945757-b26626

CVE

  • CVE-2019-14553
  • CVE-2019-14575

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour OVMF vers une version comportant le correctif de sécurité ajouté par les développeurs

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens