當前信息安全問題越來越突出了，自幽靈、熔斷漏洞之後，計算機硬件漏洞逐漸成為信息安全研究人員的關注點。近日一家名為Eclypsium的網絡安全研究公司公佈了一份報告，稱超過20家公司都會收到其發現的名為“螺絲刀”漏洞的影響。

圖片來自Eclypsium

在簡要報告中，該公司稱驅動程序及固件的不安全問題非常普遍，包括華碩、華擎等主要的BIOS供應商及NVIDIA等的驅動程序中都發現了嚴重漏洞，而且更嚴重的是他們發現的易受攻擊的驅動程序都經過了微軟的認證，因此他們已經邀請微軟提供包括將一直的問題驅動列入黑名單等方法防範此類漏洞。

具體來講這些漏洞都允許驅動程序充當代理，以執行對硬件資源的高權限訪問，例如對處理器和芯片組的I/O空間的讀寫訪問等。這是一種權限提升，因為它可以將攻擊者從用戶模式（Ring 3）提權至操作系統的內核模式（Ring 0），這樣惡意軟件就會擁有更多的權限執行。而驅動程序中的漏洞會使惡意軟件較為輕鬆的獲取高等級權限。

作為演示，Eclypsium展示瞭如Slingshot攻擊、LoJax惡意軟件等方式攻擊驅動或固件。如LoJax惡意軟件可向受害設備的固件中安裝惡意軟件，並在整個操作系統安裝過程中持續存在。

Eclypsium的發現不僅提醒了各硬件廠商需要對固件安全更加重視，而且也說明了即使驅動程序進行了簽名也不代表安全。所以為應對這個問題，需要個硬件廠商積極推出更加安全的固件及驅動，同時用戶也需要積極升級最新的固件以保證設備不受漏洞影響。