Gravísima vulnerabilidad en el firmware de los drivers CD-ROM de LG

El firmware de un dispositivo hardware (en este caso, de una unidad de

CD-ROM) es el software de control que se ejecuta en dicho dispositivo.

A grosso modo, un dispositivo hardware moderno es un ordenador

especializado en miniatura, y su firmware es el sistema operativo

específico necesario para realizar su trabajo. Hay que distinguir el

firmware, que se ejecuta dentro del propio dispositivo, con los

drivers normales del sistema operativo, que se ejecutan en la máquina

del usuario.

Los dispositivos LG vulnerables implementan un

comando opcional del estándar ATAPI (el estándar de conexión de discos

duros, CD-ROMs, controladores DVD, etc.) de forma ilegal, que viola

dicho estándar, y sustituye el comando legítimo pero opcional del

estándar por un comando propio, propietario. Dicho comando no

documentado e ilegal según el estándar, es utilizado por LG para

ordenar a la unidad de CD a que proceda a sobrescribir su firmware con

una nueva versión. Esta operación se realiza completamente por software,

sin intervención ni conocimiento del usuario.

El efecto neto

es que cualquier software malicioso ejecutado por el usuario puede

utilizar dicho comando para ordenar a la unidad CD que borre su

firmware, volviéndolo inútil y convirtiendo el dispositivo en un caro

pisapapeles.

El problema fue descubierto de forma accidental por

usuarios de dichos dispositivos, cuando intentaron instalar una nueva

versión de la distribución Linux Mandrake 9.2. Dicha instalación hace

uso del comando tal y como se define en el estándar, funcionando a la

perfección en cualquier sistema excepto bajo los drivers LG, que

quedaban inutilizados. Tras unas primeras horas de desconcierto y

acusaciones cruzadas, quedó claro que el problema real reside en LG y no

en la distribución Linux de Mandrake, ya que cualquier otro software

podría haber desencadenado el mismo desastre de hardware.

Linux Mandrake ha publicado una nueva revisión de la versión 9.2 de su

distribución Linux, en beneficio de los usuarios con sistemas

vulnerables. Por su parte LG ha publicado , también, una actualización del firmware de sus

equipos, que soluciona el problema.

Personalmente espero que esta

vez dicho firmware no permita inutilizar el dispositivo con una simple

orden enviada por cualquier virus, troyano, etc. que pudiera

introducirse en el equipo. Cualquier actualización del firmware de un

dispositivo (incluyendo la BIOS del ordenador, recordemos el caso del

virus CIH que borraba la flash BIOS de ciertos ordenadores portátiles)

debe requerir SIEMPRE una acción explícita por parte del usuario.