Lỗ hổng khởi động an toàn UEFI mới có thể cho phép kẻ tấn công tải Bootkit độc hại
Thông tin chi tiết về lỗ hổng bảo mật hiện đã được vá có thể cho phép bỏ qua cơ chế Khởi động an toàn trong các hệ thống Giao diện chương trình cơ sở mở rộng hợp nhất (UEFI) đã xuất hiện.
Theo báo cáo mới từ ESET chia sẻ với The Hacker News , lỗ hổng bảo mật được định danh là CVE-2024-7344 (điểm CVSS: 6,7) nằm trong ứng dụng UEFI được chứng nhận bởi chứng chỉ UEFI của bên thứ ba "Microsoft Corporation UEFI CA 2011" của Microsoft.[](https://www.welivesecurity.com/en/eset-research/under-cloak-uefi-secure-boot-introducing-cve-2024-7344/)
Việc khai thác thành công lỗ hổng này có thể dẫn đến việc thực thi mã không đáng tin cậy trong quá trình khởi động hệ thống, do đó cho phép kẻ tấn công triển khai bộ khởi động UEFI độc hại trên các máy tính đã bật Secure Boot, bất kể hệ điều hành nào được cài đặt.
Secure Boot là một tiêu chuẩn bảo mật phần mềm ngăn chặn phần mềm độc hại tải khi máy tính khởi động bằng cách đảm bảo rằng thiết bị khởi động chỉ bằng phần mềm được Nhà sản xuất thiết bị gốc (OEM) tin cậy. Tính năng này tận dụng chữ ký số để xác thực tính xác thực, nguồn và tính toàn vẹn của mã được tải.
Ứng dụng UEFI bị ảnh hưởng là một phần của một số bộ phần mềm phục hồi hệ thống thời gian thực do Howyar Technologies Inc., Greenware Technologies, Radix Technologies Ltd., SANFONG Inc., Wasay Software Technology Inc., Computer Education System Inc. và Signal Computer GmbH phát triển -
- Howyar SysReturn trước phiên bản 10.2.023\_20240919
- Greenware GreenGuard trước phiên bản 10.2.023-20240927
- Radix SmartRecovery trước phiên bản 11.2.023-20240927
- Hệ thống Sanfong EZ-back trước phiên bản 10.3.024-20241127
- WASAY eRecoveryRX trước phiên bản 8.4.022-20241127
- CES NeoImpact trước phiên bản 10.1.024-20241127
- SignalComputer HDD King trước phiên bản 10.3.021-20241127
"Lỗ hổng này là do sử dụng trình tải PE tùy chỉnh thay vì sử dụng các hàm UEFI chuẩn và an toàn LoadImage và StartImage ", nhà nghiên cứu ESET Martin Smolár cho biết. "Kết quả là, ứng dụng cho phép tải bất kỳ tệp nhị phân UEFI nào - ngay cả tệp chưa ký - từ tệp được tạo đặc biệt có tên cloak.dat, trong quá trình khởi động hệ thống, bất kể trạng thái UEFI Secure Boot".
Do đó, kẻ tấn công lợi dụng CVE-2024-7344 có thể vượt qua các biện pháp bảo vệ UEFI Secure Boot và thực thi mã chưa được ký trong quá trình khởi động trong ngữ cảnh UEFI ngay cả trước khi hệ điều hành tải, qua đó cấp cho chúng quyền truy cập bí mật và liên tục vào máy chủ.
"Mã được thực thi trong giai đoạn khởi động sớm này có thể tồn tại trên hệ thống, có khả năng tải các phần mở rộng hạt nhân độc hại có thể tồn tại sau cả khi khởi động lại và cài đặt lại hệ điều hành", Trung tâm điều phối CERT (CERT/CC) cho biết . "Ngoài ra, nó có thể tránh được việc phát hiện bởi các biện pháp bảo mật dựa trên hệ điều hành và phát hiện và phản hồi điểm cuối (EDR)".
Những kẻ tấn công có thể mở rộng phạm vi khai thác hơn nữa bằng cách đưa bản sao của chúng về tệp nhị phân "reloader.efi" dễ bị tấn công vào bất kỳ hệ thống UEFI nào có chứng chỉ UEFI của bên thứ ba do Microsoft đăng ký. Tuy nhiên, cần có các đặc quyền nâng cao để triển khai các tệp dễ bị tấn công và độc hại vào phân vùng hệ thống EFI: quản trị viên cục bộ trên Windows và root trên Linux.
Công ty an ninh mạng Slovakia cho biết họ đã tiết lộ những phát hiện một cách có trách nhiệm cho CERT/CC vào tháng 6 năm 2024, sau đó Howyar Technologies và các đối tác của họ đã giải quyết vấn đề trong các sản phẩm liên quan. Vào ngày 14 tháng 1 năm 2025, Microsoft đã thu hồi các tệp nhị phân cũ, dễ bị tấn công như một phần của bản cập nhật Patch Tuesday .
Ngoài việc áp dụng lệnh thu hồi UEFI, quản lý quyền truy cập vào các tệp nằm trên phân vùng hệ thống EFI, tùy chỉnh Khởi động an toàn và chứng thực từ xa bằng Mô-đun nền tảng đáng tin cậy ( TPM ) là một số cách khác để bảo vệ chống lại việc khai thác các trình nạp khởi động UEFI đã ký dễ bị tấn công và triển khai các bộ khởi động UEFI.
Smolár cho biết: "Số lượng lỗ hổng UEFI được phát hiện trong những năm gần đây và những thất bại trong việc vá chúng hoặc thu hồi các tệp nhị phân dễ bị tấn công trong một khoảng thời gian hợp lý cho thấy ngay cả một tính năng thiết yếu như UEFI Secure Boot cũng không nên được coi là một rào cản không thể vượt qua".
"Tuy nhiên, điều khiến chúng tôi lo ngại nhất về lỗ hổng bảo mật không phải là thời gian cần thiết để sửa và thu hồi tệp nhị phân, vốn khá tốt so với các trường hợp tương tự, mà là thực tế rằng đây không phải là lần đầu tiên tệp nhị phân UEFI đã ký rõ ràng là không an toàn như vậy được phát hiện. Điều này đặt ra câu hỏi về mức độ phổ biến của việc sử dụng các kỹ thuật không an toàn như vậy trong số các nhà cung cấp phần mềm UEFI của bên thứ ba và có bao nhiêu trình tải khởi động tương tự nhưng không rõ ràng nhưng đã ký khác có thể tồn tại ngoài kia."