Phát hiện trong thực tế: 2 lỗ hổng Secure Boot. Microsoft hiện chỉ đang vá 1 trong số đó

Các nhà nghiên cứu đã khai quật được hai khai thác công khai có sẵn hoàn toàn trốn tránh các biện pháp bảo vệ được cung cấp bởi Secure Boot, cơ chế toàn ngành để đảm bảo các thiết bị chỉ tải hình ảnh hệ điều hành an toàn trong quá trình khởi động. Microsoft đang hành động để chặn một khai thác và cho phép một trong những khác để vẫn là một mối đe dọa khả thi.

Là một phần của thói quen cập nhật bảo mật hàng tháng vào thứ Ba, Microsoft vá CVE-2025-3052, một lỗ hổng Secure Boot bypass ảnh hưởng đến hơn 50 nhà sản xuất thiết b. Hơn một chục mô-đun cho phép các thiết bị từ các nhà sản xuất này chạy trên Linux cho phép kẻ tấn công có quyền truy cập vật lý tắt Khởi động an toàn và từ đó, tiếp tục cài đặt phần mềm độc hại chạy trước khi hệ điều hành tải. “ như vậyác maidcác cuộc tấn công ” chính xác là mối đe dọa mà Secure Boot được thiết kế để ngăn chặn. Lỗ hổng này cũng có thể bị khai thác từ xa để giúp việc lây nhiễm trở nên lén lút và mạnh mẽ hơn nếu kẻ tấn công đã giành được quyền kiểm soát hành chính đối với máy.

Một điểm thất bại duy nhất

Nguyên nhân cơ bản của lỗ hổng này là lỗ hổng nghiêm trọng trong một công cụ dùng để flash hình ảnh chương trình cơ sở trên bo mạch chủ của các thiết bị được bán bởi DT Research, nhà sản xuất thiết bị di động bền chắc. Nó có đã có trên VirusTotal kể từ năm ngoái và được ký điện tử vào năm 2022, một dấu hiệu cho thấy nó đã có sẵn thông qua các kênh khác ít nhất kể từ ngày trước đó.

Mặc dù mô-đun này chỉ nhằm mục đích chạy trên các thiết bị DT Research nhưng hầu hết các máy chạy Windows hoặc Linux sẽ thực thi nó trong quá trình khởi động. Đó là vì mô-đun được xác thực bởi “Microsoft Corporation UEFI CA 2011,” một chứng chỉ mật mã mà Lừa đã ký bởi Microsoft và được cài đặt sẵn trên các máy bị ảnh hưởng. Mục đích của chứng chỉ là xác thực cái gọi là miếng chêm để tải Linux. Các nhà sản xuất cài đặt nó trên thiết bị của họ để đảm bảo chúng tương thích với Linux. Bản vá mà Microsoft phát hành hôm thứ Ba bổ sung các hàm băm mật mã cho 14 biến thể riêng biệt của công cụ Nghiên cứu DT vào danh sách khối được lưu trữ trong DBX, một cơ sở dữ liệu liệt kê các mô-đun đã ký đã bị thu hồi hoặc không đáng tin cậy.

“Khám phá này nhấn mạnh cách một sai lầm của nhà cung cấp có thể lan truyền trong toàn bộ chuỗi cung ứng UEFI và tại sao các tổ chức thiên về tương lai lại đầu tư vào việc quét cấp nhị phân liên tục và triển khai dbx nhanh chóng thay vì dựa vào ‘bảo mật-BIOS mỗi năm một lần- nghi thức update’,” Alex Matrosov, Giám đốc điều hành và người sáng lập Binarly, công ty bảo mật cho biết phát hiện khai thác Secure Boot. UEFI là viết tắt của Unified Extensible Firmware Interface, firmware dành cho bo mạch chủ thay thế BIOS.

Binarly đã chỉ định mức độ nghiêm trọng là 8,2 trên 10 có thể xảy ra đối với CVE-2025-3052. Xếp hạng của Microsoft là 6,7. Lỗ hổng này cũng đã nhận được một bản vá vào thứ ba từ Red Hat và các nhà phân phối hệ điều hành Linux khác.

Được giới thiệu hơn một thập kỷ trước bởi một tập đoàn các công ty, Secure Boot sử dụng mật mã khóa công khai để chặn tải bất kỳ mã nào trong quá trình khởi động không được ký bằng chữ ký số được phê duyệt trước. Nó thiết lập một chuỗi tin cậy giữa phần cứng và phần mềm hoặc firmware khởi động một thiết b. Mỗi liên kết trong chuỗi này phải được ký điện tử với chứng chỉ được nhà sản xuất thiết bị ủy quyền. Microsoft yêu cầu nó phải được bật theo mặc định. Một số chương trình chứng nhận được ủy quyền bởi các chính phủ khác nhau cũng yêu cầu phải có các biện pháp bảo vệ Khởi động an toàn.

Nhưng chờ đã, còn nữa

Khai thác Secure Boot thứ hai có sẵn công khai được phát hiện bởi nhà nghiên cứu Zack Didcott. Như ông đã báo cáo hồi đầu tháng này, CVE-2025-47827 bắt nguồn từ IGEL, một mô-đun nhân Linux để xử lý việc quản lý khối logic độc quyền của chúng. Miếng chêm ban đầu, tải GRUB và hạt nhân dễ bị tấn công, được Microsoft ký.