UEFIのブートロゴ画像を介した「LogoFAIL」脆弱性は見えず・消せず・強力で厄介

「LogoFAIL」のロゴ

　多くのUEFI実装では、デバイスの起動時にEFIシステムパーティション(ESP)に保存されているブートロゴ画像を読み込み、画面に表示させている。しかし、このブートロゴ画像を読み込む処理に欠陥があり、UEFIのセキュリティ機能（Secure Boot）を無効化されたり、OSが乗っ取られてしまうことがあるという。

　この脆弱性は「LogoFAIL」と総称されており、2023年12月に開催された「Black Hat Europe」でセキュリティベンダーBinarlyの研究チームにより公表された。ブートロゴ画像の読み込み処理に関連する脆弱性にはすでに前例があり、2009年にはBMPパーサーで不具合が指摘されている。しかし、Binarlyによると今日のUEFIはBMP以外にもさまざまな画像形式をブートロゴ画像として採用しており、攻撃対象が大幅に増加しているという。

　「LogoFAIL」の影響を受けるかどうかは採用されているイメージ解析ライブラリやUEFIベンダーの実装にもよるが、UEFIのリファレンスコード（見本となるコード）に本脆弱性が含まれていることもあり、幅広いデバイスに潜んでいるという。一方で、Kasperskyが指摘するように、DELLやAppleといったベンダーの製品はブートロゴ画像の変更が許可されていないため本脆弱性の影響をうけないという例もある。

UEFIのツールキット「EDK 2」、独立系BIOSベンダーのUEFIなどが「LogoFAIL」の影響を受ける

　「LogoFAIL」脆弱性が懸念されるのは、「BlackLotus」といった既存のブートキットよりもはるかに強力な点だ

• 「Secure Boot」や「Intel Boot Guard」といったデバイスレベルのセキュリティ保護技術をバイパスできてしまう
• 起動するOSなども変えられる上、OS内から検出するのが非常に難しい
• UEFIファームウェアに隠されているため、OSの再インストールやディスクの交換でも除去できない
• AMI、Insyde、Phoenixの3つの主要なIBV（独立系BIOSベンダー）すべてが影響を受ける

　デバイスのブートロゴ画像を変更できる立場になければ悪用はできないが、なんらかの理由でそれを許してしまった場合の影響は甚大だ。

ほとんどのセキュリティ機能・ソリューションをバイパスし、デバイスにひっそりと居残り続ける

　なお、Binarlyが最初に「LogoFAIL」を発見したLenovo製デバイスに関しては、すでにベンダーへの報告が行われており、対策済みのシステムファームウェアも公開されている。また、ASRockなどのマザーボードベンダーも、修正版の最新BIOSを公開している。BIOSのアップデートはPC入門者にとっては少しハードルが高いが、機を見て実施しておくと安心できるだろう。個人で対応が難しい場合は、古いデバイスの利用に固執せず、セキュリティの高い最新デバイスへ定期的に買い替えることも有効かもしれない。デバイスを中古で購入したり譲り受ける際も、「LogoFAIL」脆弱性のような攻撃事例があることを頭の片隅に入れておくのは重要だ。