Siber güvenlik alanında öncü bir firma olan ESET, Microsoft tarafından imzalanmış 11 adet güvenlik açığı bulunan UEFI ara katman önyükleyicisi keşfetti. Bu keşif, saldırganların on yıllık güvenlik açıklarından yararlanarak UEFI Güvenli Önyükleme'yi atlatmalarına olanak tanıyor.
UEFI ara katman önyükleyiciler, anakart UEFI bellenimi ile işletim sistemi arasındaki boşluğu doldurmak için geliştirilmiş küçük kod parçalarıdır. 0.9 ve daha eski sürümlerdeki güvenlik açığı bulunan ara katmanlar, Microsoft Corporation UEFI CA 2011 üçüncü taraf UEFI sertifika yetkilisi (CA) sertifikasına güvenen her UEFI tabanlı makinede UEFI Güvenli Önyükleme'yi atlatmak için kullanılabilir.
Bildirilen ara katmanlar, sistem önyüklemesi sırasında güvenilmeyen kodların çalıştırılmasına imkan tanır. Bu durum, saldırganların UEFI Güvenli Önyükleme'nin etkin olduğu sistemlerde bile kötü amaçlı UEFI bootkit'leri yerleştirmelerine olanak tanır. ESET, bulgularını CERT/CC'ye bildirmiş ve güvenlik açığı bulunan UEFI uygulamalarının sertifikalarının iptal edilmesini sağlamıştır.
Keşfedilen ara katmanlar, PC tanılama yazılımları, Linux dağıtımları ve diğer UEFI tabanlı yardımcı programlar dahil olmak üzere çeşitli araçlardan veya yazılım paketlerinden kaynaklanmaktadır. Saldırganların, Microsoft üçüncü taraf UEFI sertifikasının kayıtlı olduğu herhangi bir UEFI sistemine güvenlik açığı bulunan ara katmanların kendi kopyalarını getirebilecek olmaları nedeniyle, istismar yalnızca etkilenen yazılım veya işletim sisteminin yüklü olduğu sistemlerle sınırlı değildir. Bu durum, potansiyel tehlikelerin boyutunu artırmaktadır.
ESET araştırmacısı Martin Smolár, eski ara katmanların tehlikeli olmasının nedenini şu sözlerle ifade etti: “Bu eski ara katmanları tehlikeli kılan şey, UEFI Güvenli Önyükleme'yi atlatmak için yeni bir güvenlik açığına ihtiyaç olmaması. Bir saldırganın karmaşık istismar yöntemlerine ihtiyacı yoktur; sadece eski, hala güvenilir ancak iptal edilmemiş bir ara katman ikili dosyasının bir kopyası ve UEFI ara katmanlarının nasıl çalıştığına dair temel bir anlayış yeterlidir. Bu, UEFI Güvenli Önyükleme gibi hayati bir güvenlik özelliğini atlatmak için yeterlidir.”
Yıllar içinde, UEFI ara katman önyükleyicisi doğal olarak gelişti. Üst akış UEFI ara katman deposunun ardışık sürümlerinde yeni iyileştirmeler ve güvenlik özellikleri eklenmiştir. Ancak birçok üçüncü taraf satıcı, ara katman kaynak kodunun mevcut sürümlerini kullanarak kendi ikili dosyalarını oluşturmuş ve bunları daha sonra imzalanması için Microsoft’a sunmuştur. Bu davranış, beklenen bir durumdur ve ara katmanların orijinal tasarımıyla uyumludur. Ancak, Microsoft tarafından imzalanmış ve artık geçerliliğini yitirmiş ara katmanların iptal edilmesine yeterince önem verilmemiştir; bu ara katmanların çoğu, tasarımları gereği daha yeni güvenlik mekanizmalarını atlatmak için kullanılabilir.
Güvenlik açığı bulunan ara katmanlar, Microsoft’tan alınan en son UEFI iptal listeleri uygulanarak engellenebilir. Windows sistemleri otomatik olarak güncellenmelidir. Linux sistemleri için ise güncellemeler, Linux Vendor Firmware Service aracılığıyla sağlanmalıdır. Bilinmeyen, güvenlik açığı bulunan imzalı UEFI önyükleyicilerin istismar edilmesine ve UEFI bootkit'lerin dağıtımına karşı nasıl korunulacağı (veya en azından bunların nasıl tespit edileceği) ile ilgili daha genel öneriler için ESET Research blog yazısına başvurulmalıdır.
