研究者らは、数十億台の組み込みデバイスおよび産業用デバイスで稼働するオープンソースブートローダーであるU-Bootに6つの脆弱性を発見したことを公表した。これにより攻撃者は起動時にコードを実行し、OSの再インストール後も存続するマルウェアをインストールできる。

その戦略的重要性は、誰もが監視しているソフトウェアスタックの下層に位置する。エンドポイント検知、クラウドポスチャー管理、IDツールはすべて信頼できるブートを前提としている。ブートローダーの侵害はその前提を覆す。インプラントはOSより前にロードされ、その後に実行されるあらゆるエージェントを回避し、ワイプや再イメージング後も存続する。これはLoJax、BlackLotus、2023年のUEFI漏洩をボードレベルの懸念事項とした脅威と同じクラスであり、現在はエッジ、自動車、ネットワーキング、産業用フリートを支配するARMおよびRISC-Vデバイスに移行している。U-Bootの普及度が倍増要因となっている。ルーター、EV制御ユニット、医療機器、工場制御装置など、所有者がその存在すら知らないデバイスに静かに組み込まれている。

より深刻な問題は所有権にある。ファームウェアはチップベンダー、ODM、OEM、オペレーター間のグレーゾーンに存在するため、パッチはソフトウェア速度ではなくハードウェア速度で展開される。影響を受けるデバイスの多くは、それらを組み立てたインテグレーターがもはやそのSKUをサポートしていないため、修正を受け取ることはない。CISOにとって、これはコードの欠陥をライフサイクルと調達の問題に変える。

この空白を埋めるベンダーに機会が訪れている。ファームウェア検証とサプライチェーン整合性プレーヤー(Eclypsium、Binarly、NetRise)、Arm、AMD、Intelのコンフィデンシャルコンピューティングと計測ブートシリコン機能、ファームウェアに拡張されたSBOMツールはすべて緊急性を増している。サイバー保険会社と規制当局もこれに続くだろう。EU Cyber Resilience Actと今後施行される米国のセキュア・バイ・デザイン規制により、パッチが適用されていないブートチェーンは技術的問題だけでなくコンプライアンス上の責任となる。

推奨される対応:すべてのハードウェア契約においてファームウェア部品表と文書化されたパッチ頻度を要求する。シリコンがサポートする場合はハードウェアルートオブトラストと計測ブートを有効化する。サーバーだけでなくOTおよびIoT全体でU-Bootの露出を棚卸しする。そしてファームウェアを目に見えない依存関係ではなく脆弱性管理における資産クラスとして扱う。今ブートチェーンをマッピングする組織は、インシデント発生時にそれを発見する事態を避けることができる。