Grave Vulnerabilità Rilevata nei Laptop Framework: 200.000 Unità Linux a Rischio Bypass Secure Boot

La startup americana Framework, rinomata per i suoi computer portatili e workstation modulari e orientati alla riparabilità e all'aggiornamento, si trova ad affrontare una seria emergenza di sicurezza. È emersa una grave vulnerabilità che interessa circa 200.000 unità spedite equipaggiate con il sistema operativo Linux. Questi dispositivi sono stati erroneamente commercializzati con un comando di diagnostica altamente sensibile, che, essendo abilitato e non adeguatamente autenticato, avrebbe potuto consentire a un malintenzionato di eludere facilmente le protezioni del Secure Boot.

Il comando critico in questione è denominato mm, abbreviazione di Memory Modify. Il nome stesso suggerisce la sua natura delicata: esso garantisce un accesso diretto—sia in lettura che, ben più grave, in scrittura—alla memoria di sistema. Normalmente, mm è riservato a operazioni a basso livello, come lo sviluppo e il debug del firmware.

Il problema risiede nella sua capacità di sovrascrivere la variabile cruciale denominata gSecurity2. Questa variabile è la pietra angolare del Secure Boot, il meccanismo che verifica che i moduli UEFI siano firmati e autentici prima di permetterne l'esecuzione. Utilizzando mm, un attaccante può azzerare il valore di questa variabile, disattivando di fatto la verifica delle firme e aggirando completamente la sicurezza offerta dal Secure Boot.

Framework ha agito con rapidità per contenere il rischio e sta già rilasciando aggiornamenti firmware correttivi per tutti i modelli coinvolti. Di seguito è riportato lo stato degli interventi per le diverse piattaforme:

Modello Framework	Piattaforma	Stato Correzione	Note sull'Aggiornamento DBX
Framework 13	Intel Core 11° gen	Correzione in arrivo (v. 3.24)	-
Framework 13	Intel Core 12° gen	Risolto con v. 3.18	Aggiornamento DBX pianificato con v. 3.19
Framework 13	Intel Core 13° gen	Risolto con v. 3.08	Aggiornamento DBX distribuito con v. 3.09
Framework 13	Intel Core Ultra	Risolto con v. 3.06	-
Framework 13	AMD Ryzen 7040	Risolto con v. 3.16	-
Framework 13	AMD Ryzen AI 300	Risolto con v. 3.04	Aggiornamento DBX pianificato con v. 3.05
Framework 16	AMD Ryzen 7040	Risolto con v. 3.06 (Beta)	Aggiornamento DBX distribuito con v. 3.07
Framework Desktop	AMD Ryzen AI 300 MAX	Risolto con v. 3.01	Aggiornamento DBX pianificato con v. 3.03

Si consiglia vivamente a tutti gli utenti Framework di aggiornare immediatamente il firmware per proteggere i propri sistemi da potenziali vulnerabilità.