Algunas de las unidades lectoras de CD-ROM del fabricante LG contienen
un gravísimo error en el «firmware» que permite que cualquier software
malicioso que se ejecute en el sistema del usuario pueda destruir
«físicamente» la unidad CD-ROM.
El «firmware» de un dispositivo hardware (en este caso, de una unidad de
CD-ROM) es el «software» de control que se ejecuta en dicho dispositivo.
A «grosso modo», un dispositivo hardware moderno es un ordenador
especializado en miniatura, y su «firmware» es el «sistema operativo»
específico necesario para realizar su trabajo. Hay que distinguir el
«firmware», que se ejecuta dentro del propio dispositivo, con los
«drivers» normales del sistema operativo, que se ejecutan en la máquina
del usuario.
Los dispositivos LG vulnerables implementan un comando «opcional» del
estándar ATAPI (el estándar de conexión de discos duros, CD-ROMs,
controladores DVD, etc.) de forma ilegal, que viola dicho estándar, y
sustituye el comando legítimo pero opcional del estándar por un
comando propio, propietario. Dicho comando no documentado e «ilegal»
según el estándar, es utilizado por LG para ordenar a la unidad de CD a
que proceda a sobreescribir su «firmware» con una nueva versión. Esta
operación se realiza completamente por software, sin intervención ni
conocimiento del usuario.
El efecto neto es que cualquier software malicioso ejecutado por el
usuario puede utilizar dicho comando para ordenar a la unidad CD que
borre su firmware, volviéndolo inútil y convirtiendo el dispositivo en
un caro pisapapeles.
El problema fue descubierto de forma accidental por usuarios de dichos
dispositivos, cuando intentaron instalar una nueva versión de la
distribución LINUX «Mandrake 9.2». Dicha instalación hace uso del
comando tal y como se define en el estándar, funcionando a la perfección
en cualquier sistema excepto bajo los drivers LG, que quedaban
inutilizados. Tras unas primeras horas de desconcierto y acusaciones
cruzadas, quedó claro que el problema real reside en LG y no en la
distribución Linux de Mandrake, ya que cualquier otro software podría
haber desencadenado el mismo desastre de «hardware».
Linux Mandrake ha publicado una nueva revisión de la versión 9.2 de su
distribución Linux, en beneficio de los usuarios con sistemas
vulnerables. Por su parte LG ha publicado en su web, también, una
actualización del «firmware» de sus equipos, que soluciona el problema.
Personalmente espero que esta vez dicho «firmware» no permita inutilizar
el dispositivo con una simple orden enviada por cualquier virus,
troyano, etc. que pudiera introducirse en el equipo. Cualquier
actualización del «firmware» de un dispositivo (incluyendo la BIOS del
ordenador, recordemos el caso del virus CIH que borraba la flash BIOS de
ciertos ordenadores portátiles) debe requerir SIEMPRE una acción
explícita por parte del usuario.
jcea@hispasec.com
Más información:
LG CD-ROMs Destroyed by Mandrake 9.2
http://slashdot.org/article.pl?sid=03/10/25/1737244
Mandrake Linux 9.2 Installation Notes: LG CD-ROM drives Errata
http://www.mandrakelinux.com/en/lgerrata.php3
Re: WARNING! Mandrake 9.2 – Hardware problem.
http://groups.google.com/groups?dq=&hl=en&lr=&ie=UTF-8&threadm=20031025224121.070c56f1.newspost%40xanadu.nagarajan.net&prev=/groups%3Fhl%3Den%26lr%3D%26ie%3DUTF-8%26group%3Dalt.os.linux.mandrake
Mandrake 9.2 may kill LG CD-ROM drives
http://www.newsforge.com/article.pl?sid=03/10/27/0218209
Fault with Mandrake and LG drives found, fix coming out
http://www.pclinuxonline.com/modules.php?name=News&file=article&sid=7930
LgCdrom
http://mandrake.vmlinuz.ca/bin/view/Main/LgCdrom
Mandrake 9.2 estropea unidades ópticas de CD
http://barrapunto.com/article.pl?sid=03/10/26/1131226
GNU/Linux: Mandrake to Issue New 9.2 ISOs and CDs
http://news.osdir.com/article302.html
Mandrake 9.2 ISOs Available
http://slashdot.org/article.pl?sid=03/11/14/190211
LG Electronics Service Online
http://us.lgservice.com/
Deja un comentario