Стандарт UEFI, пришедший на смену BIOS, был призван значительно расширить ограниченные возможности последнего для соответствия современным веяниям по части компьютерного железа. А, как известно, чем сложнее система, тем большей в ней потенциальных ошибок.

Так, эксперты из Binarly провели исследование и обнаружили уязвимость в UEFI, названную LogoFAIL, и заключающуюся в возможности обхода механизма верифицированной загрузки Secure Boot, путем подстановки определенным образом сформированного изображения в качестве логотипа, которое замещает используемое по умолчанию производителем. Такие изображения могут быть включены в сторонние прошивки для материнских плат.

Сама уязвимость заключается в том, что существует способ создания файла в совместимом с UEFI формате BMP, GIF, JPEG, PCX и TGA, который при разборе прошивкой приводит к выходу за пределы буфера данных.

Даная ошибка не привязана к какому-либо вендору и носит глобальный характер, в частности ей подвержены все системы на базе x86 и ARM. В настоящий момент уязвимости найдены в части прошивок от Lenovo.

Также потенциально они могут быть в UEFI от Intel и Acer. Больше подробностей о LogoFAIL будет раскрыто на конференции Black Hat Europe 2023, которая пройдет 6 декабря.