1 月 19 日消息，法國網(wǎng)絡(luò)安全公司 Quarkslab 日前公布了一項名為 PixieFAIL 的 UEFI 漏洞，該漏洞允許黑客遠程發(fā)動 DoS 攻擊、執(zhí)行任意代碼、劫持網(wǎng)絡(luò)會話。包括微軟、ARM、谷歌等公司旗下產(chǎn)品均遭影響。

注意到，相關(guān)漏洞主要存在于英特爾 TianoCore EDK II 開發(fā)環(huán)境中，由 9 項子漏洞組成，具體列表如下：

• 整數(shù)溢出漏洞：CVE-2023-45229

• 緩沖區(qū)溢出漏洞：CVE-2023-45230、CVE-2023-45234、CVE-2023-45235

• 越界讀取漏洞：CVE-2023-45231

• 循環(huán)漏洞：CVE-2023-45232、CVE-2023-45233

• TCP 序列號預(yù)測漏洞：CVE-2023-45236

• 弱偽隨機數(shù)生成器漏洞：CVE-2023-45237

研究人員指出，當(dāng)下許多企業(yè)計算機及服務(wù)器使用網(wǎng)絡(luò)啟動操作系統(tǒng)，為了提供相關(guān)功能，UEFI 需要在驅(qū)動執(zhí)行環(huán)境（DXE）階段實現(xiàn)了一個完整的 IP 堆棧，從而形成了相關(guān)漏洞，允許黑客在預(yù)啟動執(zhí)行環(huán)境（Preboot Execution Environment，PXE）入侵本地局域網(wǎng)計算機，進而進行惡意行為。

據(jù)悉，由于微軟 Project Mu、谷歌 ChromeOS、Phoenix Technologies 的 SecureCore 等產(chǎn)品中均包含 TianoCore EDK II 部分代碼，因此 PixieFAIL 漏洞也會影響相關(guān)軟件。

實際上，Quarkslab 早在去年 8 月向法國計算機應(yīng)急和協(xié)調(diào)中心（CERT-FR）報告了 PixieFAIL 漏洞，并提供了其中 7 個子漏洞的概念驗證程序。該公司原計劃于去年 11 月 2 日公開披露該漏洞，但收到了各廠商的推遲披露請求，并一再推遲，直到當(dāng)下絕大多數(shù)廠商修復(fù)完成后，該安全公司才最終官宣披露相關(guān)漏洞。

廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，所有文章均包含本聲明。

投訴水文 我要糾錯

總結(jié)

以上是生活随笔為你收集整理的影响微软谷歌旗下产品，研究人员公布 UEFI 漏洞 PixieFAIL的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。