自動韌體分析工具和檢查電腦處理器和記憶體所需的技術硬體成本的下降，導致韌體漏洞和主機板安全漏洞報告激增。最新的例子是，主機板製造商技嘉於7月10日披露，其平台中仍然存在四個韌體漏洞，儘管最初的問題（存在於獨立BIOS供應商AMI提供的韌體中）多年前就已修復。技嘉在揭露中表示，這些問題影響了舊款英特爾處理器系統上的系統管理模式(SMM)模組。

一、背景概述

二、韌體漏洞技術剖析

三、威脅影響與應用場景

1. 高度持久滲透 (Persistent Implant)：攻擊者能將惡意植入直接寫入韌體，重灌系統無效，攻擊可長期潛伏、難以偵測。
2. 橫向移動擴散能力強：單一被入侵設備即可成為內部攻擊跳板，用於掃描、攻擊其他伺服器或工作站。
3. 資安邊界失效：即使 OS、應用層已完全保護，韌體層持續暴露意味整體系統仍處危險之中。
4. 供應鏈信任全面崩壞：與 BIOS/UEFI 供應鏈標準相關漏洞，可能影響主機板製造商、硬體廠商，並擴及整個 IT 生態與供應界限。

四、防禦對策建議

• OEM 應建立 Firmware SBOM，並確保每次 BIOS/UEFI 編譯時均加入完整版號與修補時間戳。
• 建議客戶端透過 Windows Update、Linux fwupd 等機制自動推送並安裝最新韌體。

• 建置 BMC/UFI 簽章驗證體系，避免未簽名韌體啟動。
• 定期運用工具掃描 Flash 儲存記錄與 ROM 內容，一旦發現異動立即警報。

• 以 Platforms 安全維護 SMM 白名單，並阻斷本機非授權程式進入 SMM。
• 定義韌體最小攻擊面 (Minimal SMM Drivers)，移除不必要功能。

• 推動 OEM 證明其全供應鏈韌體安全，納入資安稽核與合約條款。
• 參考 NIST SP 800-193 與 CISA Fortify Framework 的韌體安全規範。

• 資安團隊應對關鍵伺服器執行韌體保護測試（例如 glitch attack 與 SPI Flash 偵測）。
• 模擬攻擊演練以驗證韌體後門侵入流程。

五、後續展望與重要建議

1. 供應鏈軟硬整合：未來攻防高度依賴於韌體和硬件間的信任連結，企業應納入軟體供應鏈安全防禦邏輯。
2. 利用自動化掃描工具：如 Binarly、Eclypsium 等持續更新 CVE 的韌體漏洞資料庫，快速獲知影響設備與修補方式。
3. Regulatory 驅動效應：北美與歐盟對固件安全已提出立法要求，建議企業儘速納入治理架構。
4. 教育資安團隊：除 IT，研發與硬體管理團隊應了解韌體攻擊特質，掌握如何偵測與防範。

Gigabyte 與其他大廠未及時修補韌體缺陷，讓目標客戶暴露於高特權攻擊風險中，凸顯供應鏈韌體安全滯後。韌體是整體安全體系中最脆弱且影響最大的層級，不但影響單位設備，也關聯整體 IT 生態。建議企業立即展開：

• 韌體資產盤點與風險評估；
• 建立韌體更新與完整性防護流程；
• 加強供應商合約與 Compliance 要求；
• 演練與檢測韌體攻擊威脅面。