Linux kernel Intel driver bug 导致大量笔记本 BIOS 被锁，谁来背锅？

[fzinfz]

1. 2 月份引入 Bug 的 Intel driver 作者？ http://lists.infradead.org/pipermail/linux-mtd-cvs/2017-February/010359.html

2. 6 月份把 bug 标记为 normal 的 kernel bug team ？ https://bugzilla.kernel.org/show_bug.cgi?id=195951

3. 10 月份导致大规模爆发的 ubuntu 17.10 ？ https://bugs.launchpad.net/ubuntu/+source/linux/+bug/1734147 （貌似新闻标题都甩锅给 ubuntu，个人感觉挺冤，而且 Fedora 也有。）

4. BIOS 芯片厂家？ bug 作者提到了 GigaDevice/Winbond flash chips.

5. Intel UEFI BIOS team? https://pcsupport.lenovo.com/us/en/products/laptops-and-netbooks/thinkpad-s-series-laptops/thinkpad-s440/downloads/ds036070

(Fix) Security Fix: Intel TA201708-001 for SPI Write status command.
(Fix) Add Back Flash Prevention flag for PSIRT-TA-201708-001.

其它？

元芳们怎么看？

[fzinfz]

另外请教下这份有问题的 dmesg log 哪里有问题？看晕了。。。
https://bugzilla.kernel.org/attachment.cgi?id=257713

[ryd994]

标题党
Ubuntu 的 bug 里也说，impact minimal
而且 6 月初爆 bug，7 月底修好，2 个月速度算快了

[AstroProfundis]

如果买过维护服务，找维护厂商，如果没有，看 GPL:

This program is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
GNU General Public License for more details.

[fzinfz]

@AstroProfundis 为 LZ 标题党道歉，并不是真的怪 linux/ubuntu/intel driver，只是纯粹好奇技术上的 root cause。

@ryd994 虽然 7 月底修好了 bug，但是这个 bug 4.11 引入，4.14 修复，用了 4.13 的 Ubuntu Artful 表示很冤。

https://github.com/torvalds/linux/commit/87eb832ae9748fab00588b98c2e33e89de065438#diff-7d690ccea0339eab44643985431f548d

https://github.com/torvalds/linux/commit/d9018976cdb6eefc62a7ba79a405f6c9661b08a7#diff-7d690ccea0339eab44643985431f548d

另外“ impact minimal ”在哪里？我看到的是：
"It's very serious"
Importance: Critical

[ysc3839]

我想知道，被锁之后只有重写固件才能恢复吗？

[ryd994]

@ysc3839 并不是，只是清了设置而已
除非你之前设了密码

[ysc3839]

@ryd994 清了设置的话那重新设一下就好了，大多数情况下默认设置也没什么问题，感觉影响也不算太大。
真正的问题是导致不能开机，我之前就试过。EFI 是可以改写启动项的，我自己写了个程序修改，结果写入了错误的数据，结果后面开机刚过完自检就重启，不停这样循环，取下电池没有用，最后用编程器重写了一次才好。

[CRVV]

@fzinfz
Ubuntu Artful Aardvark 的支持周期到 2018 年 7 月，用了一个在 2017 年 12 月就 EOL 的内核版本，这怪到 Ubuntu 头上不冤

[hjc4869]

@AstroProfundis 协议只能推掉法律责任，不能防止被骂。

[pq]

我就挺好奇，主板上的 SPI Flash 关 Intel 什么事？又不是它出品的，它为嘛要费事写个驱动呢？另外，在内核中集成这么个东西真的好么？难道是为了便于在 linux 下更新 BIOS 固件？如果遇到恶意入侵，root 权限被攻破，是否会导致 BIOS 损坏？

[pq]

我记得前上上月，我玩 Fedora 的时候，还真遇到过一次，BIOS 被搞坏了，幸好是技嘉主板，有双 BIOS，系统重启时自动恢复成老版本的了。

[fzinfz]

@ysc3839 #5
@ryd994 #6

不止设置被清，而且无法保存，也可能损坏。（ launchpad #169 Intel driver 作者的回复）
1. Flash is left locked. This makes the BIOS impossible to save
settings.
2. Flash corrupted

lenovo 官方部分型号可以 ISO 烧光盘恢复，或者 rEFInd 绕过启动限制，但是目前大多数自行修复的都是拆机拆焊 BIOS 用编程器重刷。

个人认为目前最接近真相的应该是#191：
```
I think we are off on the wrong track. This is fundamentally a CVE against Insyde Software BIOS and possibly other vendors. Any attacker with kernel mode access could do the same thing, regardless of Linux install. I am not sure, but it is possible someone with admin access to Windows could create a driver to do the same thing. Any brave pentesters out there want to give it a try and write it up?

If Paul Sladen in #173 is correct, this is definitely a CVE against the BIOS.
```

[fzinfz]

@pq #10 https://github.com/torvalds/linux/blob/master/Documentation/mtd/intel-spi.txt

不只 linux，windows 上也可以直接更新 bios，没发现厂家提供的 bios 很多都是.exe 文件吗。

[pq]

@fzinfz 我觉得在操作系统下更新 BIOS 是走进了邪路，主板如果没有双 BIOS，那么，恶意软件损毁主板将不再是设想，而一般用户，基本都不具备电子电路知识，也没有工具，自己刷 BIOS 芯片肯定不现实。

BIOS 最好还是通过主板集成的刷新程序来操作，或者通过厂家发布的自带 DOS 的 ISO 文件来操作，而不应该在任何操作系统中提供可写接口。

[fcten]

@pq 恶意软件如果想要破坏你的系统，有一万种办法，这么做只能给更新 bios 带来麻烦，并不会有额外的安全收益

与破坏 bios 相比，覆盖硬盘上的所有数据杀伤力要大得多

事实上，绝大多数的恶意软件都会尽力保证你的系统（看上去）正常，而不是把你的电脑搞坏。

[pq]

@fcten 我的意思是，只要存在这种可能性，就是可怕的。硬盘数据对个人用户来说，真不是太重要，反正最重要的东西平时基本都是有好几个备份，而 BIOS 弄坏了，金钱损失不说，至少得折腾好几天才能弄好吧？

[pq]

有内核高手么？删除掉"/lib/modules/KERNEL_VERSION/kernel/drivers/spi/"的话，能否去除这种风险？

[fzinfz]

@pq #17 fix 早就有了： https://github.com/torvalds/linux/commit/d9018976cdb6eefc62a7ba79a405f6c9661b08a7

保险的做法是避开 4.11/4.12/4.13 这 3 个版本

4.13 ubuntu fix： （ https://bugs.launchpad.net/ubuntu/+source/linux/+bug/1734147 ）
linux (4.13.0-21.24) artful
linux-hwe-edge (4.13.0-21.24~16.04.1) xenial
linux-oem (4.13.0-1012.13) xenial

[fcten]

@pq 坐飞机可能掉下来，坐车可能撞死，但是没有人会因此就不出门 -> 存在可能性并不可怕

个人数据不重要，数据可以备份 -> 勒索病毒作者表示很欣赏这种想法

BIOS 本身也会有 BUG，主板出厂后，BIOS 也需要更新才能支持新的硬件。如果 BIOS 的更新很麻烦，意味着成本提升 -> 无论 BIOS 是否损坏，都需要支付更多的金钱

[ryd994]

@fcten 你说的这是近年年来的趋势，黑客也要养家
还记得 cih 么？不为别的，就是炫技
想要勒索商业公司，搞挂他们服务是个好主意