Une analyse des images de micrologiciels sur les appareils de Dell, HP et Lenovo a r\u00e9v\u00e9l\u00e9 la pr\u00e9sence de versions obsol\u00e8tes de la biblioth\u00e8que cryptographique OpenSSL, soulignant un risque pour la cha\u00eene d’approvisionnement.<\/p>\n
Kit de d\u00e9veloppement EFI, alias EDK<\/a>est une impl\u00e9mentation open source de l’interface micrologicielle extensible unifi\u00e9e (UEFI<\/a>), qui fonctionne comme une interface entre le syst\u00e8me d’exploitation et le micrologiciel int\u00e9gr\u00e9 au mat\u00e9riel de l’appareil.<\/p>\n L’environnement de d\u00e9veloppement du micrologiciel, qui en est \u00e0 sa deuxi\u00e8me it\u00e9ration (EDK II), est livr\u00e9 avec son propre package cryptographique appel\u00e9 CryptoPkg<\/a> qui, \u00e0 son tour, utilise les services du projet OpenSSL.<\/p>\n Selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 du micrologiciel Binarly, l’image du micrologiciel associ\u00e9e aux appareils d’entreprise Lenovo Thinkpad utilisait trois versions diff\u00e9rentes d’OpenSSL\u00a0: 0.9.8zb, 1.0.0a et 1.0.2j, dont la derni\u00e8re a \u00e9t\u00e9 publi\u00e9e en 2018.<\/p>\n De plus, l’un des modules de micrologiciel nomm\u00e9 InfineonTpmUpdateDxe s’appuyait sur la version 0.9.8zb d’OpenSSL qui a \u00e9t\u00e9 livr\u00e9e le 4 ao\u00fbt 2014.<\/p>\n “Le module InfineonTpmUpdateDxe est responsable de la mise \u00e0 jour du firmware du Trusted Platform Module (MTP<\/a>) sur la puce Infineon,” Binarly expliqu\u00e9<\/a> dans un article technique la semaine derni\u00e8re.<\/p>\n “Cela indique clairement le probl\u00e8me de la cha\u00eene d’approvisionnement avec les d\u00e9pendances tierces lorsqu’il semble que ces d\u00e9pendances n’ont jamais re\u00e7u de mise \u00e0 jour, m\u00eame pour des probl\u00e8mes de s\u00e9curit\u00e9 critiques.”<\/p>\n Mis \u00e0 part la diversit\u00e9 des versions d’OpenSSL, certains des progiciels de Lenovo et Dell utilisaient une version encore plus ancienne (0.9.8l), sortie le 5 novembre 2009. Le code du micrologiciel de HP utilisait \u00e9galement une version vieille de 10 ans. de la biblioth\u00e8que (0.9.8w).<\/p>\n Le fait que le micrologiciel de l’appareil utilise plusieurs versions d’OpenSSL dans le m\u00eame package binaire met en \u00e9vidence la fa\u00e7on dont les d\u00e9pendances de code tiers peuvent introduire plus de complexit\u00e9s dans l’\u00e9cosyst\u00e8me de la cha\u00eene d’approvisionnement.<\/p>\n Binarly a en outre soulign\u00e9 les faiblesses de ce qu’on appelle une nomenclature logicielle (SBOM<\/a>) qui r\u00e9sulte de l’int\u00e9gration de modules binaires compil\u00e9s (alias source ferm\u00e9e) dans le micrologiciel.<\/p>\n “Nous voyons un besoin urgent d’une couche suppl\u00e9mentaire de validation SBOM en ce qui concerne le code compil\u00e9 pour valider au niveau binaire, la liste des informations de d\u00e9pendance tierces qui correspondent au SBOM r\u00e9el fourni par le fournisseur”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n “Une approche “faire confiance mais v\u00e9rifier” est le meilleur moyen de g\u00e9rer les d\u00e9faillances de SBOM et de r\u00e9duire les risques de la cha\u00eene d’approvisionnement.”<\/p>\n <\/p>\n<\/div>\n![\"Versions](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1669381944_272_Peripheriques-Dell-HP-et-Lenovo-trouves-a-laide-de-versions.png\" "\\"Versions")
<\/div>\n