Microsoft usuwa lukę obecną w Windowsie przez 10 lat

Microsoft udostępnił poprawkę zabezpieczeń dla systemu Windows, która tym razem usuwa problem związany z mechanizmem UEFI Secure Boot. Luka nie dotyczyła samego systemu Windows 11. Badacze z firmy ESET wykryli, że część starych bootloaderów podpisanych przez Microsoft nadal była uznawana za zaufaną, mimo że od lat zawierały znane podatności umożliwiające obejście zabezpieczeń.

Secure Boot to mechanizm sprawdzający, czy podczas uruchamiania komputera ładowane jest wyłącznie zaufane oprogramowanie. Dzięki temu możliwe jest ograniczenie ryzyka działania rootkitów oraz innych zagrożeń aktywujących się jeszcze przed załadowaniem systemu operacyjnego.

Nowa aktualizacja usuwa błędy

Problem odkryty przez ESET dotyczył starszych wersji bootloadera shim, wykorzystywanego głównie w dystrybucjach Linuxa współpracujących z Secure Boot. Jedenaście starych wersji tego komponentu, wydanych jeszcze w 2015 roku, pozostawało na liście zaufanych podpisów Microsoftu, mimo że od dawna znane były ich słabości związane z bezpieczeństwem.

Microsoft usunął lukę w zabezpieczeniach Windowsa, która była obecna aż przez ponad 10 lat.

Według badaczy umożliwiało to przeprowadzenie ataku Bring Your Own Vulnerable Bootloader. Osoba posiadająca odpowiedni dostęp mogła wykorzystać własną kopię starego, podatnego bootloadera podpisanego przez Microsoft, żeby ominąć część mechanizmów Secure Boot. Nie było przy tym konieczne odnalezienie podatnego programu na komputerze ofiary, ponieważ atakujący mógł dostarczyć go samodzielnie.

Zaawansowany mechanizm

Co gorsza chodziło o lukę, która była obecna w Windowsie aż przez ponad 10 lat. W nowszych wersjach bootloaderów pojawiły się dodatkowe zabezpieczenia, takie jak SBAT oraz mechanizmy wykorzystujące listę MOK, które pozwalają skuteczniej blokować niebezpieczne wersje oprogramowania rozruchowego.

Problem został zgłoszony przez ESET do CERT Coordination Center Microsoftowi w lutym, a ten teraz przygotował odpowiednie poprawki. Jedenaście podatnych bootloaderów zostało dodanych do bazy UEFI Forbidden Signature Database, czyli listy zablokowanych podpisów cyfrowych.

Aktualizacja trafiła najpierw do czerwcowych poprawek zabezpieczeń, a obecnie znajduje się również w najnowszym pakiecie Patch Tuesday z lipca, dlatego użytkownicy instalujący bieżące aktualizacje otrzymują wszystkie poprawki automatycznie.