- ESET a identifié 11 anciennes applications UEFI, signées par Microsoft, permettant de contourner UEFI Secure Boot sur la plupart des systèmes UEFI.
- Leur exploitation permet d'exécuter du code malveillant au démarrage et de déployer des bootkits UEFI.
- Les attaquants peuvent exploiter ces binaires sur tous les systèmes faisant confiance au certificat UEFI tiers de Microsoft, indépendamment du système d'exploitation installé.
- Tous les systèmes UEFI utilisant la signature UEFI tierce de Microsoft sont concernés, à l'exception des PC Windows 11 Secured-core où cette option est normalement désactivée.
- Microsoft a révoqué les binaires vulnérables afin d'empêcher leur exploitation.
Les chercheurs d'ESET ont identifié 11 bootloaders UEFI vulnérables, signés par Microsoft, permettant de contourner UEFI Secure Boot en exploitant des failles connues depuis près de dix ans. Les versions 0.9 et antérieures de ces bootloaders peuvent être utilisées sur toute machine UEFI faisant confiance au certificat Microsoft Corporation UEFI CA 2011, quel que soit le système d'exploitation installé. Leur exploitation permet d'exécuter du code non approuvé dès le démarrage et de déployer des bootkits UEFI malveillants, y compris sur des systèmes protégés par UEFI Secure Boot. ESET a signalé ces vulnérabilités au CERT/CC, ce qui a conduit à la révocation des binaires concernés.
Les bootloaders vulnérables proviennent de différents éditeurs et projets, notamment d'outils de diagnostic, de distributions Linux et d'autres utilitaires UEFI. Leur exploitation ne se limite toutefois pas aux systèmes sur lesquels ces logiciels sont installés : un attaquant peut utiliser sa propre copie d'un bootloader vulnérable sur toute machine faisant confiance au certificat tiers UEFI de Microsoft.
« Ce qui rend ces anciens bootloaders dangereux, ce n'est pas la découverte d'une nouvelle vulnérabilité, mais le fait qu'aucune faille supplémentaire n'est nécessaire pour contourner UEFI Secure Boot. Il suffit de disposer d'une ancienne version signée, toujours considérée comme fiable mais non révoquée, et de comprendre le fonctionnement des bootloaders shim UEFI. Cela permet de neutraliser un mécanisme de sécurité pourtant essentiel », explique Martin Smolár, chercheur chez ESET à l'origine de cette découverte. « Afin d'illustrer les risques, notre rapport détaille plusieurs vulnérabilités présentes dans les bootloaders identifiés. Simples à exploiter, elles montrent l'ampleur de la surface d'attaque exposée par ces composants » ajoute Smolár.
Au fil des années, le projet shim UEFI a évolué avec l'ajout de nouveaux mécanismes de sécurité. Dans le même temps, de nombreux éditeurs ont compilé leurs propres versions à partir du code source disponible avant de les faire signer par Microsoft, conformément au modèle de fonctionnement des shims. En revanche, les anciennes versions signées n'ont pas toujours été révoquées, alors même qu'elles permettent, par conception, de contourner les protections introduites dans les versions plus récentes.
La protection contre ces bootloaders vulnérables repose sur l'application des dernières révocations publiées par Microsoft. Sur Windows, celles-ci sont distribuées via Windows Update. Sur Linux, elles sont disponibles par l'intermédiaire du Linux Vendor Firmware Service (LVFS).
Pour en savoir plus sur la détection et la prévention de l'exploitation de bootloaders UEFI vulnérables ainsi que sur les bootkits UEFI, consultez l'article de blog d'ESET Research : « Forgotten UEFI shims undermining Secure Boot » sur WeLiveSecurity.com.
Flux de démarrage UEFI simplifié sur les systèmes Linux
Contact Presse :
Jolya COHOUNDO : presse@eset-nod32.fr
À propos d'ESET
ESET®, entreprise européenne de cybersécurité reconnue mondialement, se positionne comme un acteur majeur dans la protection numérique grâce à une approche technologique innovante et complète. Fondée en Europe et disposant de bureaux internationaux, ESET combine la puissance de l'intelligence artificielle et l'expertise humaine pour développer des solutions de sécurité avancées, capables de prévenir et contrer efficacement les cybermenaces émergentes, connues et inconnues. Ses technologies, entièrement conçues dans l'UE, couvrent la protection des terminaux, du cloud et des systèmes mobiles, et se distinguent par leur robustesse, leur efficacité et leur facilité d'utilisation, offrant ainsi une défense en temps réel 24/7 aux entreprises, infrastructures critiques et utilisateurs individuels. Grâce à ses centres de recherche et développement et son réseau mondial de partenaires, ESET propose des solutions de cybersécurité intégrant un chiffrement ultra-sécurisé, une authentification multifactorielle et des renseignements approfondis sur les menaces, s'adaptant constamment à l'évolution rapide du paysage numérique.
Pour plus d’informations, consultez www.eset.com/fr
et suivez-nous sur LinkedIn, Facebook et Instagram.