米半導体大手Intel(Intel)は、先日流出した第12世代Alder Lake CPUのUEFI BIOSのソースコード流出が本物であることを確認した。これにより、研究者の間でサイバーセキュリティに関する懸念が高まっている。

10月7日に、「freak」というTwitterユーザーが、Intel Alder LakeのUEFIファームウェアのソースコードとされるもののリンクを投稿し、4chanによって公開されたと述べていた。

リンク先は、「LCFCASD」というユーザーがアップロードした「ICE_TEA_BIOS」というGitHubのリポジトリで、このリポジトリには「project C970のBIOSコード」とされるものが含まれていた。

流出したのは5.97GBのファイル、ソースコード、秘密鍵、変更履歴、コンパイルツールで、ファイルの最新タイムスタンプは22年9月30日で、ハッカーや内部関係者がデータをコピーしたと思われる。

Intelは、誰がコードを流出させたのか、どこでどのように流出させたのかを確認していない。しかし、現在は削除されているが、すでに広く複製されているGitHubリポジトリは、Lenovoを含むいくつかのOEMのラップトップを製造している中国ベースのODM、LC Future Centerの従業員と見られる人物によって作成されたことが分かっている。さらに、流出した文書の1つは「Lenovo Feature Tag Test Information」に言及しており、同社と流出の関連性についての説をさらに強めています。

また、「Insyde」と書かれたファイルも大量にあり、これは、OEMにBIOS/UEFIファームウェアを提供し、Lenovoとの協力関係で知られるInsyde Software社を指しており、BleepingComputerによると、すべてのソースコードは、UEFIシステムファームウェア開発会社であるInsyde Software Corpが開発したものであるとのことだ。

Intelはその後、Tom’s Hardware に対して、この事件を確認する声明を発表している。

「当社独自の UEFI コードがサードパーティによってリークされたようです。我々は、セキュリティ対策として情報の難読化に依存していないため、これが新たなセキュリティの脆弱性を露呈するとは考えていない。このコードは、Project Circuit Breakerキャンペーン内のバグバウンティプログラムの対象であり、潜在的な脆弱性を発見した研究者は、このプログラムを通じて私たちの注意を喚起することをお勧めします。我々は、顧客とセキュリティ・リサーチ・コミュニティの両方に連絡を取り、この状況について知らせ続けています。」

Intelの広報担当者

セキュリティ研究者が懸念

Intelはソースコード流出のセキュリティリスクを軽視していますが、セキュリティ研究者は、この内容によってコードの脆弱性が発見されやすくなる可能性があると警告している。

実際、著名なセキュリティ研究者であるMark Ermolov氏は、すでにコードの解析に懸命に取り組んでいる。彼の初期の報告によると、通常特権コード用に確保されている秘密のMSR(Model Specific Registers)が発見され、セキュリティ上の問題となる可能性があること、またIntelのBoot Guardに使われている秘密署名キーが発見され、この機能が無効となる可能性があることが示されている。また、BootGuardやTXT（Trusted Execution Technology）用のACM（Authenticated Code Modules）の痕跡もあり、将来的に信頼の根源に関わる問題が発生する可能性があるという。

流出した秘密鍵が製品に使用されているかどうかは不明だが、もし使用されている場合、ハッカーはこの秘密鍵を使ってIntelファームウェアのブートポリシーを変更し、ハードウェアのセキュリティを回避することができる可能性があるという。

Intelは積極的に、発見した脆弱性を同社のバグバウンティプログラム「Project Circuit Breaker」に提出するよう研究者に呼びかけており、報告された問題の重大性に応じて、バグ1件につき500ドルから10万ドルの賞金を授与している。このコードが、Corebootのようなオープンソースグループに間接的に利益をもたらすかどうかは不明である。