セキュリティ

SECURITY

公開：2024-09-14

IntelがUEFIファームウェアの脆弱性を公開、権限昇格やDoS攻撃のリスクに対処するアップデートを提供

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• IntelがUEFIファームウェアの脆弱性を公開
• 高度な権限昇格やDoS攻撃のリスクが存在
• UEFI更新プログラムで脆弱性に対処

Intelプロセッサ向けUEFIファームウェアの脆弱性に関する注意喚起

Intelは2024年9月10日、同社のプロセッサに搭載されているUEFIファームウェアに複数の脆弱性が存在することを公表した。これらの脆弱性を悪用されると、権限昇格やサービス拒否攻撃、情報漏洩などのリスクがあるとされている。Intelはこれらの脆弱性に対処するため、UEFIファームウェアの更新プログラムをリリースした。^[1]

今回公開された脆弱性の中でも特に深刻なものとして、CVE-2024-23599が挙げられる。この脆弱性は、一部のIntelリファレンスプラットフォームのシームレスファームウェア更新機能における競合状態に起因しており、ローカルアクセスを通じて権限を持つユーザーがサービス拒否攻撃を引き起こす可能性がある。CVSSv3.1基本スコアは7.9（重要）と評価されている。

他にも、CVE-2024-21871やCVE-2023-43626など、複数の脆弱性が報告されている。これらの脆弱性の多くは、不適切な入力検証や不適切なアクセス制御に起因しており、ローカルアクセスを通じて権限を持つユーザーが権限昇格を引き起こす可能性がある。Intelは、影響を受ける製品のユーザーに対し、システム製造元が提供する最新のUEFIファームウェア更新プログラムを適用するよう推奨している。

Intelプロセッサ向けUEFIファームウェアの脆弱性まとめ

UEFIファームウェアについて

UEFIとは「Unified Extensible Firmware Interface」の略称で、コンピュータのハードウェアとオペレーティングシステムの間のインターフェースとして機能するファームウェアのことを指す。主な特徴として、以下のような点が挙げられる。

• 従来のBIOSに代わる近代的なブートローダー
• グラフィカルなユーザーインターフェースをサポート
• 大容量ストレージデバイスからの起動に対応

UEFIファームウェアは、コンピュータの起動プロセスを制御し、ハードウェアの初期化やオペレーティングシステムの読み込みを行う重要な役割を果たしている。今回のIntelによる脆弱性の公開は、UEFIファームウェアのセキュリティがシステム全体のセキュリティに直結することを改めて示している。UEFIの脆弱性は攻撃者にシステムレベルのアクセスを許可する可能性があるため、迅速なアップデートが求められる。

Intelプロセッサ向けUEFIファームウェアの脆弱性に関する考察

Intelが迅速に脆弱性を公開し、更新プログラムを提供したことは評価に値する。この対応により、ユーザーは早期に対策を講じることが可能になり、潜在的な被害を最小限に抑えられる可能性が高まった。しかし、UEFIファームウェアの更新は一般ユーザーにとってはハードルが高い作業であり、多くのユーザーが更新を見送る可能性も考えられる。

今後の課題として、UEFIファームウェアの自動更新メカニズムの実装が挙げられる。オペレーティングシステムの更新と同様に、UEFIファームウェアも簡単かつ安全に更新できる仕組みが必要だろう。また、ハードウェアメーカーとソフトウェアベンダーの連携強化も重要で、脆弱性情報の共有や更新プログラムの配布をより効率的に行うための体制作りが求められる。

長期的には、UEFIファームウェアの設計段階からセキュリティを考慮したアプローチが不可欠だ。セキュアブートの強化や、ファームウェアの署名検証の厳格化など、より堅牢なセキュリティ機能の実装が期待される。同時に、ユーザーや管理者向けのセキュリティ教育も重要で、ファームウェア更新の重要性や適切なセキュリティ設定について、継続的な啓発活動が必要になるだろう。

参考サイト

1. ^ Intel. 「INTEL-SA-01071」. https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01071.html, (参照 24-09-14).
2. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧