ESET descobre vulnerabilidade que permite bypass do UEFI Secure Boot

Os investigadores da ESET descobriram uma vulnerabilidade que afeta a maioria dos sistemas baseados em UEFI e que permite contornar o chamado “UEFI Secure Boot”.

Vulnerabilidade CVE-2024-7344 pode levar à execução de código malicioso no arranque...

Esta vulnerabilidade, designada CVE-2024-7344, foi encontrada numa aplicação UEFI assinada pelo certificado UEFI de terceiros “Microsoft Corporation UEFI CA 2011” da Microsoft.

A exploração desta vulnerabilidade pode levar à execução de código não fiável durante o arranque do sistema, permitindo que potenciais atacantes implementem facilmente bootkits UEFI maliciosos (como o Bootkitty ou o BlackLotus) mesmo em sistemas com o UEFI Secure Boot ativado e independentemente do sistema operativo instalado.

A ESET relatou as descobertas ao Centro de Coordenação CERT (CERT/CC) em junho de 2024, que contactou com sucesso os fornecedores afetados. O problema já foi corrigido nos produtos afetados e os antigos binários vulneráveis foram revogados pela Microsoft na atualização Patch Tuesday de 14 de janeiro de 2025.

A aplicação UEFI afetada faz parte de vários conjuntos de software de recuperação do sistema em tempo real desenvolvidos pela Howyar Technologies Inc., Greenware Technologies, Radix Technologies Ltd., SANFONG Inc., Wasay Software Technology Inc., Computer Education System Inc. e Signal Computer GmbH.

O número de vulnerabilidades UEFI descobertas nos últimos anos e as falhas na aplicação de patches ou na revogação de binários vulneráveis dentro de uma janela de tempo razoável mostram que mesmo um recurso tão essencial como o UEFI Secure Boot não deve ser considerado uma barreira impenetrável

No entanto, o que mais nos preocupa em relação à vulnerabilidade não é o tempo que levou para corrigir e revogar o binário, que foi bastante bom em comparação com casos semelhantes, mas o facto de que esta não é a primeira vez que um binário UEFI assinado tão obviamente inseguro foi descoberto. Isto levanta questões sobre o quão comum é o uso de tais técnicas inseguras entre os fornecedores de software UEFI de terceiros, e quantos outros bootloaders semelhantes obscuros, mas assinados, podem existir por aí

Martin Smolár da ESET, responsável pela descoberta  da vulnerabilidade.

A exploração desta vulnerabilidade não se limita aos sistemas com o software de recuperação afetado instalado, uma vez que os atacantes podem trazer a sua própria cópia do binário vulnerável para qualquer sistema UEFI com o certificado UEFI de terceiros da Microsoft registado. Além disso, são necessários privilégios elevados para a implementação dos ficheiros vulneráveis e maliciosos na partição do sistema EFI (administrador local no Windows; root no Linux).

A vulnerabilidade é causada pelo uso de um carregador PE personalizado em vez de usar as funções padrão e seguras da UEFI, LoadImage e StartImage. Todos os sistemas UEFI com a assinatura UEFI de terceiros da Microsoft ativada são afetados (os PCs Windows 11 Secured-core devem ter esta opção desativada por predefinição).

A vulnerabilidade pode ser atenuada aplicando as últimas revogações UEFI da Microsoft. Os sistemas Windows devem ser atualizados automaticamente. O aviso da Microsoft para a vulnerabilidade CVE-2024-7344 pode ser encontrado aqui. Para os sistemas Linux, as atualizações devem estar disponíveis através do Linux Vendor Firmware Service.

Para uma análise mais detalhada e uma análise técnica desta vulnerabilidade UEFI, consulte este artigo no WeLiveSecurity.com.

ESET