Le 17 janvier 2025 — Les chercheurs d’ESET ont découvert une vulnérabilité qui affecte la majorité des systèmes basés sur UEFI et permet aux pirates de contourner UEFI Secure Boot. Cette vulnérabilité, identifiée comme la CVE-2024-7344, a été trouvée dans une appli UEFI signée par le certificat UEFI tiers « Microsoft Corporation UEFI CA 2011 » de Microsoft. L’exploitation de cette vulnérabilité peut conduire à l’exécution de code non fiable au démarrage du système, permettant aux pirates de déployer facilement des bootkits UEFI malveillants (tels Bootkitty ou BlackLotus) même sur des systèmes où UEFI Secure Boot est activé, peu importe le système d’exploitation installé.
En juin 2024, ESET a signalé les résultats au Centre de coordination CERT (Computer Emergency Response Team), qui a contacté les fournisseurs concernés. Le problème a été résolu dans les produits concernés et les anciens binaires vulnérables ont été supprimés par Microsoft dans la mise à jour Patch Tuesday du 14 janvier 2025.
Cette appli UEFI fait partie de plusieurs suites logicielles de récupération système en temps réel, développées par Howyar Technologies Inc., Greenware Technologies, Radix Technologies Ltd., SANFONG Inc., Wasay Software Technology Inc., Computer Education System Inc. et Signal Computer GmbH.

« Les vulnérabilités UEFI découvertes ces dernières années et les échecs de correction ou la suppression des binaires vulnérables dans un délai raisonnable montrent qu’une fonctionnalité aussi essentielle que UEFI Secure Boot ne doit pas être considérée comme une barrière infranchissable », déclare Martin Smolár, le chercheur d’ESET, qui a découvert la vulnérabilité. « Ce qui nous inquiète le plus, à propos de cette vulnérabilité, ce n’est pas le temps qu’il a fallu pour corriger et révoquer le binaire - plutôt bon par rapport à des cas similaires -, mais le fait que ce ne soit pas la première fois qu’un binaire UEFI aussi dangereux est découvert. Cela soulève des questions sur la fréquence d’utilisation de ces techniques dangereuses parmi les fournisseurs de logiciels UEFI tiers, et sur le nombre d’autres chargeurs de démarrage similaires, obscurs mais signés. »

L'exploitation de cette vulnérabilité ne se limite pas aux systèmes avec le logiciel de récupération affecté. Les attaquants peuvent ajouter leur propre copie du binaire vulnérable à n'importe quel système UEFI avec le certificat UEFI tiers Microsoft. Il faut aussi des privilèges élevés pour déployer les fichiers vulnérables et malveillants sur la partition système EFI (administrateur local sous Windows ; root sous Linux). La vulnérabilité résulte de l'utilisation d'un chargeur PE personnalisé au lieu d'utiliser les fonctions UEFI standard et sécurisées LoadImage et StartImage. Tous les systèmes UEFI avec signature UEFI tierce partie Microsoft activée sont concernés (les PC Windows 11 Secured-core devraient avoir cette option désactivée par défaut).

La vulnérabilité peut être atténuée en appliquant les dernières mises à jour des listes de révocations UEFI de Microsoft. Les systèmes Windows devraient être mis à jour automatiquement. L'avis de Microsoft concernant la vulnérabilité CVE-2024-7344 est disponible ici. Pour les systèmes Linux, les mises à jour doivent être disponibles via Linux Vendor Firmware Service.

Pour une analyse plus détaillée et une analyse technique de la vulnérabilité UEFI, consultez le dernier blog d'ESET Research “Under the cloak of UEFI Secure Boot: Introducing CVE-2024-7344” sur www.WeLiveSecurity.com . Pour les toutes dernières nouvelles, suivez aussi ESET Research sur X

A PROPOS d’ESET ESET® offre une sécurité de pointe pour prévenir les attaques avant qu'elles ne se produisent. Avec la puissance de l'IA et l'expertise humaine, ESET conserve une longueur d'avance sur les menaces connues et émergentes, en sécurisant les mobiles, ses solutions et services basés sur l’IA et axés cloud sont efficaces et faciles à utiliser. La technologie ESET comprend une détection et une réponse robustes, un cryptage ultra-sécurisé et une authentification multi facteur. Avec une défense en temps réel 24/7 et un solide support local, ESET assure la sécurité des utilisateurs et des entreprises sans interruption. Un paysage numérique en constante évolution exige une approche progressive de la sécurité : ESET dispose d’une recherche de classe mondiale et d’une puissante intelligence des menaces, soutenues par des centres de R&D ainsi qu’un réseau mondial de partenaires. Plus d'infos : www.eset.com ou LinkedIn, Facebook, X et https://www.eset.com/be-fr/.