Nouvelle vulnérabilité UEFI : bootkits invisibles et sécurité compromise
L’UEFI est vulnérable à une faille de sécurité qui se propage à travers plusieurs outils de récupération système. Cette vulnérabilité permet aux attaquants de contourner le Secure Boot et de déployer des bootkits invisibles pour le système d’exploitation. Microsoft a officiellement identifié la vulnérabilité sous le nom de code CVE-2024-7344 Howyar Taiwan Secure Boot Bypass.
Exploitation de la faille de sécurité UEFI
Le responsable serait un chargeur PE client, permettant le chargement de n’importe quel binaire UEFI, même non signé. Cette vulnérabilité ne reposerait apparemment pas sur des services de confiance tels que LoadImage et StartImage. Les attaquants peuvent exploiter cette fonctionnalité en remplaçant le chargeur OS par défaut d’une application sur la partition EFI par une version vulnérable contenant une image PE XOR PE cryptée rudimentaire. Une fois installé, le système infecté démarrera avec des données malveillantes issues de l’image PE XOR.
Outils de récupération système affectés
Plusieurs outils de récupération système exploiteraient cette nouvelle vulnérabilité provenant de nombreux développeurs de logiciels tiers. En particulier, des applications UEFI sont conçues pour aider à la récupération, à la maintenance des disques ou aux sauvegardes. Certains des outils affectés incluent Howyar SysReturn, Greenware GreenGuarde et Radix SmartRecovery.
Produits logiciels affectés découverts par les chercheurs en sécurité d’ESET :
- Howyar SysReturn avant la version 10.2.023_20240919
- Greenware GreenGuard avant la version 10.2.023-20240927
- Radix SmartRecovery avant la version 11.2.023-20240927
- Sanfong EZ-back System avant la version 10.3.024-20241127
- WASAY eRecoveryRX avant la version 8.4.022-20241127
- CES NeoImpact avant la version 10.1.024-20241127
- SignalComputer HDD King avant la version 10.3.021-20241127
Mesures de protection prises par Microsoft et ESET
Heureusement, Microsoft et ESET ont déjà pris des mesures pour protéger le public de cette vulnérabilité. ESET aurait contacté les vendeurs affectés pour résoudre le problème de sécurité. Microsoft a révoqué les certificats des logiciels vulnérables dans la dernière mise à jour de Windows, qui est sortie cette semaine lors du patch Tuesday.
Si vous utilisez l’une des applications logicielles mentionnées ci-dessus, il est conseillé de vous assurer d’avoir la dernière mise à jour de Windows et de mettre à jour les logiciels susmentionnés pour contrer cette vulnérabilité UEFI.
Source : www.tomshardware.com
