Intel a confirmé la fuite du code source du BIOS UEFI pour les processeurs Alder Lake

Intel a confirmé la fuite du code source du BIOS UEFI de 12e génération Intel Core (Alder Lake). Il comprend 5,97 Go de données, y compris les codes sources, les clés privées, les journaux des modifications et les outils de compilation. Le dossier le plus récent est daté du 30 septembre 2022.

Les chercheurs notent que le code source contient de nombreuses références à Lenovo, notamment « Lenovo String Service », « Lenovo Secure Suite » et « Lenovo Cloud Service ». Pour le moment, on ne sait pas si la fuite est le résultat d'une cyberattaque ou si les données ont été publiées par un initié.

Le code UEFI propriétaire d'Intel semble avoir été rendu public par un tiers. La société ne pense pas que cela ouvre de nouvelles vulnérabilités de sécurité car Intel ne s'appuie pas sur l'obscurcissement des informations comme mesure de sécurité. Ce code est éligible au programme "bug bounty" de l'entreprise dans le cadre de la campagne Project Circuit Breaker.

Ils encouragent tous les chercheurs susceptibles de découvrir des vulnérabilités potentielles à les porter à l'attention de ce programme. Intel contacte à la fois les clients et la communauté des chercheurs en sécurité pour les informer de cette situation.

Cependant, les experts en sécurité de l'information ne sont pas aussi optimistes. Le fait est que ces données aideront les attaquants à détecter les vulnérabilités dans le code. Un autre problème est que la fuite contient la clé de chiffrement privée KeyManifest pour Intel Boot Guard. Si cette clé est effectivement utilisée par Intel, les pirates pourraient potentiellement l'utiliser pour modifier la politique de démarrage et contourner la protection matérielle.

via Communauté