SIMATIC IPC: testovací klíč v Secure Boot, opraví BIOS 28.01.15

Siemens zveřejnil 13. října advisory SSA-159454 k šesti řadám SIMATIC IPC: v databázi Secure Boot leží testovací klíč výrobce BIOSu, kterým jde podepsat bootloader, který kontrola pustí dál. Opravné verze BIOSu existují, ale samotné nahrání nestačí — po updatu se načítají výchozí hodnoty a klíče se musí provisionovat znovu.

Co advisory říká

• CVE-2026-72895, slabina CWE-1394 (použití výchozího kryptografického klíče). CVSS 3.1 7,7, CVSS 4.0 8,4.
• Klíč není produkční. V databázi Secure Boot zůstal testovací klíč výrobce BIOSu — DO NOT TRUST - AMI Test PK u RW-543A, insyde-ElkhartLake u ostatních modelů.
• Zneužití chce fyzický nebo administrativní přístup k zařízení (AV:L), ne přístup po síti. Vektor počítá s AC:H a UI:R, takže to není jednokliková záležitost.
• Dopad je ale úplný: kdo klíčem podepíše operační systém nebo UEFI aplikaci, projde kontrolou podpisu i při zapnutém Secure Boot. Siemens i CISA proto mluví o ztrátě důvěrnosti, integrity i dostupnosti zařízení.

Postižené modely

Past při updatu BIOSu

Po nahrání opravné verze je nutné načíst výchozí nastavení BIOSu. Tím zmizí i to, co na stroji nastavil někdo při oživení, a pokud byly klíče Secure Boot už provisionované, musí se provisionovat znovu. Dočasná mitigace z advisory — ruční smazání testovacího klíče z databáze — vydrží jen do prvního načtení výchozích hodnot, takže jako náhrada updatu nefunguje.

Jak ověřit

Na Linuxu vypíše obsah databáze efi-readvar -v db z balíku efitools; hledejte záznam s názvem testovacího klíče. U zařízení s Windows je spolehlivější podívat se v setupu na verzi BIOSu a porovnat ji s tabulkou — cokoli pod uvedenou hranicí je neopravený stav.

Pro správce: BIOS aktualizovat dřív, než se objeví první podezřelý boot, a po updatu zkontrolovat, že Secure Boot je zapnutý a testovací klíč v databázi není. Pro konstruktéra: když tyto IPC dodáváte uvnitř stroje, updatujte BIOS před FAT — načtení výchozích hodnot po zákazníkovi přepíše nastavení, které jste ladili při oživení.