Le code source du logiciel UEFI utilisé par les processeurs Core de douzième génération a été publié sur GitHub, sans le consentement d’Intel. Il pourrait être exploité par des hackers, s’ils parviennent à trouver des failles de sécurité.
Intel vient de confirmer à nos confrères de Tom’s Hardware la fuite du code source du logiciel BIOS/UEFI des processeurs Core de douzième génération (Alder Lake). Le code est apparu sur le forum anonyme 4chan avec un lien vers environs 6 Go de fichiers stockés sur GitHub sous le nom ICE_TEA_BIOS et la description BIOS Code from project C970. Le répertoire contient le code source UEFI (Unified Extensible Firmware Interface), mais aussi des outils de compilation et des fichiers de type journal, indiquant les changements. Rappelons que le BIOS/UEFI est le premier programme activé lors du démarrage du PC. Il assure la compatibilité de tous les composants entre eux, effectue éventuellement des tests, gère le disque dur ou l’ordre de démarrage de l’ordinateur. C’est lui qui lance le chargement du système d’exploitation.
Intel est cependant confiant quant aux risques de cette fuite. Le constructeur a déclaré à Tom’s Hardware :
« Nous ne pensons pas que cela expose de nouvelles vulnérabilités de sécurité, car nous ne nous appuyons pas sur le masquage des informations comme mesure de sécurité. Ce code est couvert par notre programme de bug bounty (chasse aux bugs) dans le cadre de la campagne Project Circuit Breaker. »
Bref, le constructeur mise sur la transparence et encourage les chercheurs en sécurité et les spécialistes à analyser le code source du BIOS pour trouver d’éventuelles failles de sécurité :
« Nous sommes en contact avec nos clients et avec la communauté des chercheurs en sécurité pour les tenir informés de cette situation. »
La situation semble sous contrôle, mais certains chercheurs ne sont pas de cet avis. Mark Ermolov, un spécialiste de la recherche sur les plates-formes Intel, a publié sur Twitter un message indiquant que l’une des clés privées de chiffrement a été dévoilée, ce qui compromet la technologie Boot Guard d’Intel, qui sécurise le démarrage de l’ordinateur :
A very bad thing happened: now, the Intel Boot Guard on the vendor’s platforms can no longer be trusted… ☹️ pic.twitter.com/K5mXcp5ipW
— Mark Ermolov (@_markel___) October 8, 2022
Le chercheur a aussi découvert des registres de configuration MSR (Model Specific Register) secrets, qui n’avaient pas été dévoilés officiellement par Intel :
I can’t believe: NDA-ed MSRs, for the newest CPU, what a good day… pic.twitter.com/bNitVJlkkL
— Mark Ermolov (@_markel___) October 8, 2022
La fuite du code pourrait être exploitée par des hackers, par exemple pour installer des versions malveillantes de l’UEFI sur une machine. Il va donc s’engager une course contre-la-montre entre les pirates, les chercheurs en sécurité et Intel pour trouver les failles potentielles du BIOS et les corriger, ou les exploiter. Seul le temps nous dira qui va gagner.
Quant à la source de la fuite, des indicateurs pointent vers la Chine, en particulier la société LC Future Center qui produit des ordinateurs portables pour plusieurs constructeurs, dont Lenovo. Le nom du constructeur apparait d’ailleurs sur certains documents, ainsi que Insyde Software, un fournisseur de BIOS/UEFI qui travaille entre autres pour Lenovo. On ne sait pas si l’auteur de la fuite comptait demander une rançon à Lenovo ou si ses motivations sont autres.
Source :
Tom’s Hardware