Intel NUC BIOSファームウェアに深刻な脆弱性、特権昇格やDoSのリスクに対処

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Intel NUC BIOSファームウェアの脆弱性と対策
Intel NUC BIOSファームウェア脆弱性の影響まとめ
EDK2について
Intel NUC BIOSファームウェアの脆弱性対策に関する考察
参考サイト

記事の要約

Intel NUC BIOSファームウェアに脆弱性が発見
特権昇格、DoS、情報漏洩のリスクが存在
Intelがファームウェア更新を通じて対策を実施

Intel NUC BIOSファームウェアの脆弱性と対策

Intelは2024年8月13日、一部のIntel NUC BIOSファームウェアに潜在的なセキュリティ脆弱性が存在することを公表した。この脆弱性により、特権昇格、サービス拒否（DoS）、情報漏洩のリスクが生じる可能性がある。Intelはこれらの潜在的な脆弱性を緩和するため、ファームウェアの更新プログラムをリリースしている。^[1]

公開された脆弱性情報によると、EDK2のネットワークパッケージにバッファオーバーフローやTCP初期シーケンス番号の予測可能性など、複数の脆弱性が確認された。これらの脆弱性は、攻撃者による不正アクセスや機密性、整合性、可用性の喪失につながる可能性がある。CVSSスコアは最大で8.3（高）と評価されており、早急な対応が求められる。

影響を受ける製品は、Intel NUC X15ラップトップの特定モデルである。具体的には、LAP AC71GとLAPAC71H（バージョン0065未満）、LAPBC510とLAPBC710（バージョン0083未満）、LAPRC510とLAPRC710（バージョン0066未満）、LAPKC51E、LAPKC71E、LAPKC71F（バージョン0048未満）が対象となる。Intelは、これらの製品のBIOSファームウェアを最新バージョンに更新することを強く推奨している。

Intel NUC BIOSファームウェア脆弱性の影響まとめ

	CVE-2023-45230	CVE-2023-45235	CVE-2023-39539	CVE-2024-34163
脆弱性の種類	バッファオーバーフロー	バッファオーバーフロー	PNGロゴファイルのアップロード	不適切な入力検証
影響	機密性・整合性・可用性の喪失	機密性・整合性・可用性の喪失	機密性・整合性・可用性の喪失	特権昇格
CVSSスコア	8.3（高）	8.3（高）	7.5（高）	7.5（高）
攻撃ベクトル	隣接	隣接	ローカル	ローカル
対象コンポーネント	DHCPv6クライアント	DHCPv6プロキシ	BIOSのPNGロゴ機能	ファームウェア

EDK2について

EDK2とは、UEFI（Unified Extensible Firmware Interface）の実装を提供するオープンソースのプロジェクトのことを指しており、主な特徴として以下のような点が挙げられる。

プラットフォーム非依存のファームウェア開発環境を提供
モジュール化された設計により、柔軟なカスタマイズが可能
幅広いハードウェアプラットフォームをサポート

EDK2は、Intel NUC製品を含む多くのコンピューターシステムのBIOSファームウェアの基盤として使用されている。今回の脆弱性は、EDK2のネットワークパッケージに関連するものが多く、DHCPv6クライアントやTCP実装などの重要なコンポーネントに影響を与えている。これらの脆弱性は、ネットワーク接続を介して攻撃者によって悪用される可能性があり、システムのセキュリティにとって重大な脅威となる。

Intel NUC BIOSファームウェアの脆弱性対策に関する考察

Intel NUC BIOSファームウェアの脆弱性対策として、Intelが迅速にファームウェア更新プログラムをリリースしたことは評価できる。しかし、エンドユーザーが実際に更新を適用するまでには時間がかかる可能性があり、この間にシステムが攻撃にさらされるリスクが残る。また、組織内で大量のNUCデバイスを管理している場合、更新作業の負担が大きくなることも懸念される。

今後の課題として、ファームウェアの自動更新メカニズムの改善や、脆弱性の早期発見・修正プロセスの強化が挙げられる。特に、EDK2のようなオープンソースプロジェクトについては、コミュニティ全体でのセキュリティレビューの強化が重要だ。また、ハードウェアベンダーとソフトウェアベンダーの協力体制を強化し、脆弱性情報の共有と対策の迅速な展開を図ることも必要だろう。

長期的には、ファームウェアセキュリティの重要性に対する認識を高め、開発段階からセキュリティを考慮したデザインを採用することが求められる。同時に、ユーザーに対するセキュリティ教育を強化し、定期的なファームウェア更新の重要性を啓発することも、エコシステム全体のセキュリティ向上につながるだろう。Intelには、今回の経験を活かし、より強固なセキュリティ体制の構築を期待したい。