ESET'ten Güvenli Önyükleme Korumasına Kritik Tehdit Uyarısı

Siber güvenlik alanının önde gelen şirketlerinden ESET, saldırganların yaklaşık on yıldır var olan zafiyetlerden faydalanarak UEFI Güvenli Önyükleme sistemini devre dışı bırakmasına olanak tanıyan kritik bulgular paylaştı. Şirket, Microsoft tarafından imzalanmış ve toplamda 11 adet güvenlik açığı içeren UEFI ara katman önyükleyicisi tespit etti. Bu ara katman önyükleyiciler, anakartın UEFI bellenimi ile işletim sistemi arasında köprü görevi gören küçük kod parçacıklarıdır.

Eski Sürümlerdeki Güvenlik Zafiyetleri

Tespit edilen zafiyetler, 0.9 ve daha eski sürümlerdeki ara katmanları etkiliyor. Bu durum, yüklü işletim sisteminden bağımsız olarak, Microsoft Corporation UEFI CA 2011 üçüncü taraf UEFI sertifika yetkilisi (CA) sertifikasına güvenen tüm UEFI tabanlı makinelerde Güvenli Önyükleme'nin aşılmasına imkan tanıyor. Bu ara katmanlar, sistem önyüklemesi sırasında güvenilmeyen kodları çalıştırmak için kötüye kullanılabilir; bu da saldırganların, Güvenli Önyükleme'nin aktif olduğu sistemlerde bile zararlı UEFI bootkit'leri yerleştirmesine olanak sağlıyor. ESET, bu önemli bulgularını CERT/CC'ye iletti ve bunun sonucunda güvenlik açığı bulunan UEFI uygulamalarının sertifikaları iptal edildi.

Keşfedilen ara katmanların kökeni, PC tanılama yazılımları, çeşitli Linux dağıtımları ve diğer UEFI tabanlı yardımcı programlar gibi farklı araç ve yazılım paketlerine dayanıyor. ESET araştırmacısı Martin Smolár, bu durumu şöyle açıkladı: “Bu eski ara katmanları tehlikeli kılan, yeni bir güvenlik açığı olmamasıdır; UEFI Güvenli Önyükleme’yi atlatmak için yeni bir zafiyete ihtiyaç duyulmamasıdır. Bir saldırganın karmaşık istismar yöntemlerine ihtiyacı yoktur; sadece eski, hala güvenilir ancak iptal edilmemiş bir ara katman ikili dosyasının bir kopyası ve UEFI ara katmanlarının nasıl çalıştığına dair temel bir anlayış yeterlidir. Bu, UEFI Güvenli Önyükleme gibi hayati bir güvenlik özelliğini atlatmak için yeterlidir.” Smolár, raporlarında bu tür ara katmanların UEFI Güvenli Önyükleme ile korunan sistemler üzerindeki potansiyel etkisini daha iyi anlatmak amacıyla birkaç spesifik sorunu incelediklerini ve bunların kolayca istismar edilebilir nitelikte olduğunu vurguladı.

Güvenlik İyileştirmeleri ve Güncelleme İhtiyacı

Yıllar içinde UEFI ara katman önyükleyicileri doğal bir evrim geçirerek, ardışık sürümlerle yeni iyileştirmeler ve güvenlik özellikleri kazandı. Ancak birçok üçüncü taraf satıcı, ara katman kaynak kodunun mevcut sürümlerini kullanarak kendi ikili dosyalarını oluşturdu ve bunları imzalanması için Microsoft'a sundu. Bu durum beklenen bir davranış olsa da, Microsoft tarafından imzalanmış ve artık geçerliliğini yitirmiş ara katmanların iptaline yeterince önem verilmediği ortaya çıktı. Bu ara katmanların çoğu, tasarımları gereği, daha yeni güvenlik mekanizmalarını atlatmak için kullanılabilir durumda.

Bu tür güvenlik açığı barındıran ara katmanlar, Microsoft’tan alınan en son UEFI iptal listelerinin uygulanmasıyla engellenebilir. Windows sistemleri için otomatik güncellemeler bu korumayı sağlarken, Linux sistemleri için güncellemeler Linux Vendor Firmware Service aracılığıyla temin edilmelidir. Bilinmeyen, güvenlik açığı bulunan imzalı UEFI önyükleyicilerin istismar edilmesine ve UEFI bootkit'lerin dağıtımına karşı daha genel korunma (veya tespit) yöntemleri için ESET Research blog yazısı “UEFI Güvenli Önyükleme'nin perdesi arkasında: CVE-2024-7344'ün tanıtımı” incelenebilir.