ESET'ten Güvenli Önyüklemeye Tehdit Uyarısı

Siber güvenlik alanında öncü şirketlerden ESET, önemli bir güvenlik tehdidini gün yüzüne çıkardı. Şirket, saldırganların yaklaşık on yıllık zafiyetlerden faydalanarak UEFI Güvenli Önyükleme sistemini bypass etmelerine olanak tanıyan, Microsoft tarafından imzalanmış 11 adet güvenlik açığı barındıran UEFI ara katman önyükleyicisi tespit etti.

UEFI Ara Katman Önyükleyicileri ve Riskleri

UEFI ara katman önyükleyicileri, anakartın UEFI bellenimi ile işletim sistemi arasındaki bağlantıyı sağlayan küçük kod blokları olarak tanımlanıyor. ESET'in bulgularına göre, 0.9 ve daha eski sürümlerdeki zafiyetli ara katmanlar, Microsoft Corporation UEFI CA 2011 üçüncü taraf sertifika yetkilisi (CA) sertifikasına güvenen herhangi bir UEFI tabanlı sistemde, yüklü işletim sisteminden bağımsız olarak UEFI Güvenli Önyükleme'yi atlatmak için kullanılabiliyor. Bu durum, sistemin başlangıç aşamasında güvenilmeyen kodların çalıştırılmasına yol açarak, saldırganların UEFI Güvenli Önyükleme aktif olsa bile kötü amaçlı UEFI bootkit'leri kurmasına imkan tanıyor.

ESET, bu keşfini CERT/CC'ye bildirdi ve bunun sonucunda güvenlik açığı içeren UEFI uygulamalarının sertifikaları iptal edildi. Keşfedilen ara katmanların kökeni, PC tanı yazılımları, çeşitli Linux dağıtımları ve diğer UEFI tabanlı yardımcı programlar gibi farklı araç ve yazılım paketlerine dayanıyor. ESET araştırmacısı Martin Smolár, durumu şu sözlerle açıkladı: “Bu eski ara katmanları tehlikeli kılan, yeni bir güvenlik açığı değil; UEFI Güvenli Önyükleme’yi atlatmak için yeni bir güvenlik açığına gerek olmamasıdır. Bir saldırganın karmaşık istismar yöntemlerine ihtiyacı yoktur — sadece eski, hâlâ güvenilir ancak iptal edilmemiş bir ara katman ikili dosyasının bir kopyası ve UEFI ara katmanlarının nasıl çalıştığına dair temel bir anlayış yeterlidir. Bu, UEFI Güvenli Önyükleme gibi hayati bir güvenlik özelliğini atlatmak için yeterlidir.” Smolár, raporlarında bu tür ara katmanların sistemler üzerindeki potansiyel etkisini vurgulamak amacıyla kolayca istismar edilebilir sorunları detaylandırdıklarını belirtti.

Korunma Yöntemleri ve Güncellemeler

Yıllar içinde UEFI ara katman önyükleyicileri doğal bir evrim geçirerek yeni iyileştirmeler ve güvenlik özellikleri kazandı. Ancak, birçok üçüncü taraf satıcı, ara katman kaynak kodunun eski sürümlerini kullanarak kendi ikili dosyalarını oluşturmuş ve bunları Microsoft'a imzalatmaya devam etmiştir. Bu durum, Microsoft tarafından imzalanmış ancak artık geçerliliğini yitirmiş ara katmanların iptal edilmesine yeterince önem verilmemesi nedeniyle bir güvenlik açığı yaratmıştır. Bu eski ara katmanların çoğu, tasarımları gereği, daha yeni güvenlik mekanizmalarını atlatmak için kullanılabilir durumdadır. Bu tür zafiyetli ara katmanlar, Microsoft'tan alınan en son UEFI iptal listelerinin uygulanmasıyla engellenebilir. Windows sistemleri otomatik olarak güncellenirken, Linux sistemleri için güncellemeler Linux Vendor Firmware Service aracılığıyla sağlanmalıdır. Bilinmeyen, güvenlik açığı içeren imzalı UEFI önyükleyicilerinin istismar edilmesine ve UEFI bootkit'lerinin yayılmasına karşı korunma veya tespit yöntemleri hakkında daha detaylı bilgi için ESET Research blog yazısı “UEFI Güvenli Önyükleme'nin perdesi arkasında: CVE-2024-7344'ün tanıtımı” incelenebilir.