Selon Binarly Research, une étude sur l’écosystème UEFI met en évidence une faiblesse systémique de Secure Boot: des modules signés, notamment des shells UEFI, peuvent être exploités pour contourner la vérification de signature et exécuter du code non signé au niveau firmware.

  • Découverte clé: plus de 30 shells UEFI signés et approuvés chez de grands OEM créent des vecteurs d’attaque. L’analyse de 4 000 images firmware montre que les plateformes modernes font confiance à environ 1 500 modules signés en moyenne (certaines dépassent 4 000), élargissant fortement la surface d’attaque. Des centaines d’appareils de sept OEM sont concernés. 🔐

  • Technique d’exploitation: des shells UEFI dotés de capacités de manipulation mémoire (ex. commande mm) permettent des écritures arbitraires. Les attaquants peuvent écraser la variable globale gSecurity2 pour court-circuiter la vérification de signature dans la fonction LoadImage, ce qui désactive les protections Secure Boot et autorise l’exécution de code non signé. Ce vecteur constitue un équivalent firmware des attaques BYOVD. ⚠️

  • Chaîne de confiance en cause: ces shells sont approuvés soit via la vérification par certificat OEM, soit par inclusion explicite de leur empreinte (hash) dans la base de signatures de Secure Boot, rendant l’attaque possible sans briser la chaîne de signature officielle. La recherche propose une nouvelle taxonomie des systèmes de vérification de signature et démontre la faisabilité via corruption mémoire.

  • Preuve de concept: une PoC valide la désactivation de Secure Boot par cette méthode. La publication rattache l’enjeu à CVE-2025-3052 et documente l’impact sur un large parc de dispositifs.

IOCs et TTPs:

  • IOCs: aucun indicateur d’intrusion fourni dans l’extrait.
  • TTPs: abus de shell UEFI signé; utilisation de la commande mm pour écritures arbitraires; corruption de mémoire ciblant gSecurity2; contournement de LoadImage et de la vérification de signature; technique de type BYOVD appliquée au firmware.

Il s’agit d’une publication de recherche visant à documenter une nouvelle classe de techniques de contournement de Secure Boot et à catégoriser les faiblesses des systèmes de vérification de signature.

🔗 Source originale : https://www.binarly.io/blog/signed-and-dangerous-byovd-attacks-on-secure-boot

🖴 Archive : https://web.archive.org/web/20250911092758/https://www.binarly.io/blog/signed-and-dangerous-byovd-attacks-on-secure-boot