El código de hardware BIOS para los procesadores Intel Alder Lake fue publicado en 4chan

Hace pocos días en la red se había dado a conocer la noticia sobre la filtración del código UFEI de Alder Lake de Intel en 4chan y que posteriormente se publicó una copia en GitHub.

Sobre el caso Intel, no se postuló al instante, pero ahora ya ha confirmado la autenticidad de los códigos fuente del firmware UEFI y BIOS publicados por una persona desconocida en GitHub. En total, se publicaron 5,8 GB de código, utilidades, documentación, blobs y configuraciones relacionadas con la formación de firmware para sistemas con procesadores basados ​​en la microarquitectura Alder Lake, lanzados en noviembre de 2021.

Intel menciona que los archivos relacionados están en circulación desde hace unos días y como tal la noticia está siendo confirmada directamente de Intel, que menciona que desea señalar que el asunto no implica nuevos riesgos para la seguridad de los chips y de los sistemas en los que se utilizan, por lo que hace un llamado a no alarmarse sobre el caso.

Según Intel, la filtración ocurrió por culpa de un tercero y no como resultado de un compromiso en la infraestructura de la empresa.

«Nuestro código UEFI patentado parece haber sido filtrado por un tercero. No creemos que esto exponga nuevas vulnerabilidades de seguridad, ya que no confiamos en la ofuscación de la información como medida de seguridad. Este código está cubierto por nuestro programa de recompensas por errores dentro del Project Circuit Breaker , y alentamos a cualquier investigador que pueda identificar vulnerabilidades potenciales a llamar nuestra atención a través de este programa. Nos estamos acercando tanto a los clientes como a la comunidad de investigación de seguridad para mantenerlos informados sobre esta situación». — Portavoz de Intel.

Como tal no se especifica quién se convirtió exactamente en la fuente de la fuga (ya que por ejemplo los fabricantes de equipos OEM y las empresas que desarrollan firmware personalizado tenían acceso a las herramientas para compilar el firmware).

Sobre el caso, se menciona que el análisis del contenido del archivo publicado reveló algunas pruebas y servicios específicos de los productos Lenovo («Lenovo Feature Tag Test Information», «Lenovo String Service», «Lenovo Secure Suite», «Lenovo Cloud Service»), pero la participación de Lenovo en la fuga de información también reveló utilidades y bibliotecas de Insyde Software, que desarrolla firmware para OEM, y el registro de git contiene un correo electrónico de uno de los empleados de LC Future Center, que produce computadoras portátiles para varios OEM.

Según Intel, el código que entró en acceso abierto no contiene datos confidenciales ni componentes que puedan contribuir a la revelación de nuevas vulnerabilidades. Al mismo tiempo, Mark Yermolov, que se especializa en investigar la seguridad de las plataformas Intel, reveló en el archivo publicado información sobre registros MSR no documentados (registros específicos del modelo, utilizados para la gestión, rastreo y depuración de microcódigos), información sobre la cual cae bajo un no -acuerdo de confidencialidad.

Además, se encontró una clave privada en el archivo, que se usa para firmar digitalmente el firmware, que potencialmente se puede usar para eludir la protección Intel Boot Guard (no se ha confirmado el funcionamiento de la clave, es posible que se trate de una clave de prueba).

También se menciona que el código que entró en acceso abierto cubre el programa Project Circuit Breaker, lo que implica el pago de recompensas que van desde $500 hasta $100,000 por identificar problemas de seguridad en firmware y productos Intel (se entiende que los investigadores pueden recibir recompensas para informar sobre vulnerabilidades descubiertas mediante el uso de los contenidos de la fuga).

“Este código está cubierto por nuestro programa de recompensas por errores dentro de la campaña Project Circuit Breaker, y alentamos a cualquier investigador que pueda identificar vulnerabilidades potenciales a que nos las comunique a través de este programa”, agregó Intel.

Finalmente cabe mencionar que sobre la filtración de los datos el cambio más reciente en el código publicado tiene fecha del 30 de septiembre de 2022, por lo que la información dada a conocer es actualizada.