Intel第12世代 Core「Alder Lake」対応BIOS関連のソースコードが流出、Intelも本物であると認める

コードネーム「Alder Lake」で知られるIntelの第12世代CoreシリーズCPUに対応したBIOSに関連するソースコードとされるファイルが海外掲示板サイトの4chanに流出し、GitHubにアップされました。ファイルは約2.8GBのZIPファイルで、中身はAlderLakeプラットフォームとチップセット用のBIOS、正確にはUEFIを構築するためのファイルやツールが大量に含まれていました。Intelはこの流出したソースコードが本物であることを認めています。

Intel's Alder Lake BIOS Source Code Reportedly Leaked Online | Tom's Hardware
https://www.tomshardware.com/news/intels-alder-lake-bios-source-code-reportedly-leaked-online

Intel Confirms Alder Lake BIOS Source Code Leak | Tom's Hardware
https://www.tomshardware.com/news/intel-confirms-6gb-alder-lake-bios-source-code-leak-new-details-emerge

What can we learn from leaked Insyde's BIOS for Intel Alder Lake
https://hardenedvault.net/blog/2022-10-08-alderlake_fw-leak/

Alder Lakeシリーズは2021年11月4日にリリースされたもので、流出したファイルは2.8GBのZIP形式に圧縮されていました。中身はBIOSベンダーのInsyde Software製UEFIのプロビジョニングや微調整など、OEMメーカーの作業を容易にするツールでした。

また、解凍後のファイルサイズは5.86GBで、GitHubにアップロードされていたことが確認されています。GitHubのリポジトリは記事作成時点ではすでに削除されていますが、Internet Archiveなどで閲覧できてしまう状態です。

この問題を報じたハードウェア関連ニュースサイトのTom's Hardwareに対して、Intelは「当社独自のUEFIコードが第三者によって漏えいしてしまったようです」とコメントし、リークされたファイルが本物であることを認めました。

今回リークされたファイルがどういう経緯で流出したものなのかは記事作成時点では不明ですが、ドキュメントの1つには「Lenovo Feature Tag Test Information」と記載されていたことがわかっており、Gitのログからは中国のODMメーカーであるLCFC Electronics Technologyの従業員の名前とみられる記述も見つかっています。LCFC Electronics TechnologyはLenovoの子会社であることから、おそらくLonovo製PC向けUEFIの調整・開発行程のどこかで、ハッキング被害などにより流出したのではないかと考えられています。

PCのUEFIは、OSがロードされる前にハードウェアを初期化しますが、その中でトラステッド・プラットフォーム・モジュール(TPM)などのセキュリティシステムへの接続を確立します。このUEFIのソースコードが流出したとなると、悪意のある攻撃者あるいはセキュリティ研究者が調査することで、潜在的なバックドアやセキュリティの脆弱性が暴かれてしまう可能性が非常に高くなるとTom's Hardwareは述べています。

実際にセキュリティ研究者のマーク・アーモロフ氏はすでに解析を行っており、通常は特権コード用に確保されるModel Specific Register(MSR)を、起動前にUEFIの改ざんなどをチェックする「Intel Boot Guard」に使われる秘密署名キーと共に発見。このIntel Boot Guardを無効化できる可能性があると報告しています。

他にも、Intelのセキュリティ機能の一つであるTrusted Execution Technology(TXT)用のAuthenticated Code Modules(ACM)に関わる部分もあったとのことで、一部からは将来的にセキュリティの信頼性が大きく揺らぐ可能性も指摘されています。

なお、Intelは「当社は、セキュリティ対策として情報の難読化に依存していないため、これが新たなセキュリティ脆弱性を露呈するとは考えていません。このコードは、Project Circuit Breakerのバグバウンティプログラムの対象であり、潜在的な脆弱性を発見した研究者は、このプログラムを通じて注意喚起を行うことをおすすめします。私たちは、お客様とセキュリティ研究者コミュニティの両方に対して、この状況についての情報を提供するように働きかけています」と述べ、直ちにセキュリティの信頼性が揺らぐものではないとしています。