Synthèse
Les chercheurs en sécurité d’ESET ont récemment découvert la vulnérabilité CVE-2024-7344 lié au chargeur de démarrage UEFI « Howyar Reloader » (version 32 bits et 64 bits), distribué dans le cadre de SysReturn de Howyar et de plusieurs autres suites logicielles, développées par d’autres fabricants, pour la récupération du système en temps réel.
Note: une preuve de concept (PoC) pour exploiter la vulnérabilité est disponible en ligne.
Description et impacts potentiels
Les chercheurs en sécurité d’ESET ont récemment découvert la vulnérabilité CVE-2024-7344 lié au chargeur de démarrage UEFI « Howyar Reloader » (version 32 bits et 64 bits), distribué dans le cadre de SysReturn de Howyar et de plusieurs autres suites logicielles, développées par d’autres fabricants, pour la récupération du système en temps réel. Cette vulnérabilité permet l’exécution de logiciels arbitraires à partir d’un chemin prédéfini : le scénario d’exploitation est qu’un attaquant pourrait contourner la fonctionnalité de démarrage sécurisé UEFI et exécuter du code non signé pendant le processus de démarrage dans le contexte UEFI.
Utilisation d’un chargeur PE personnalisé
La vulnérabilité est générée par l’application « reloader.efi » qui utilise un chargeur PE personnalisé au lieu des fonctions standard et sûres de l’UEFI. ChargerImage e Image de démarrage. Par conséquent, face aux contrôles de sécurité inadéquats appliqués par ces fonctions, l’application permettrait, lors du démarrage du système, le chargement de binaires UEFI – même non signés – via un fichier spécialement créé appelé “cloak.dat”.
Pour plus d’informations, nous vous recommandons de consulter le lien à l’analyse, disponible dans la section Références.
Typologie
- Contournement des fonctionnalités de sécurité
- Exécution de codes arbitraires
Produits et/ou versions concernés
- Howyar SysReturn, versions antérieures à 10.2.023_20240919
- GreenGuard Greenware, versions antérieures à 10.2.023-20240927
- Radix SmartRecovery, versions antérieures à 11.2.023-20240927
- Système Sanfong EZ-back, versions antérieures à 10.3.024-20241127
- WASAY eRecoveryRX, versions antérieures à 8.4.022-20241127
- CES NeoImpact, versions antérieures à 10.1.024-20241127
- SignalComputer HDD King, versions antérieures à 10.3.021-20241127
N.-B. Comme l’ont rapporté les chercheurs d’ESET, les attaquants pourraient exploiter la vulnérabilité en question même si les produits susmentionnés ne sont pas présents sur l’appareil cible. En effet, sous certaines conditions, il est possible de distribuer le binaire « reloader.efi » même dans les systèmes UEFI dans lesquels il n’est pas présent. Pour plus de détails, veuillez consulter lien à l’analyse, disponible dans la section Références.
Mesures d’atténuation
Conformément aux déclarations des chercheurs d’ESET, il est recommandé de maintenir constamment vos appareils à jour.
Il est également représenté que la vulnérabilité peut être atténuée en appliquant les dernières révocations UEFI de Microsoft. Les systèmes Windows devraient se mettre à jour automatiquement. Pour les systèmes Linux, les mises à jour doivent être disponibles via le Service de micrologiciel du fournisseur Linux.
De plus, pour vérifier si les révocations nécessaires sont installées sur votre système, vous pouvez exécuter les commandes PowerShell suivantes (exécutées avec des autorisations élevées) :
Fenêtres
Système UEFI : renvoie « True » si le système est affecté par CVE-2024-7344
- [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Corporation UEFI CA 2011’
Système UEFI 64 bits : renvoie « Vrai » si le système est protégé (le pilote vulnérable est révoqué)
- [BitConverter]::ToString((Get-SecureBootUEFI dbx).bytes) -replace ‘-‘ -match ‘cdb7c90d3ab8833d5324f5d8516d41fa990b9ca721fe643fffaef9057d9f9e48’
Système UEFI 32 bits : renvoie « Vrai » si le système est protégé (le pilote vulnérable est révoqué)
- [BitConverter]::ToString((Get-SecureBootUEFI dbx).bytes) -replace ‘-‘ -match ‘e9e4b5a51f6a5575b9f5bfab1852b0cb2795c66ff4b28135097cba671a5491b9’
Linux/Unix et macOS
Exécutez les commandes suivantes sur les systèmes Linux/Unix et macOS :
- dbxtool –liste | grep ‘cdb7c90d3ab8833d5324f5d8516d41fa990b9ca721fe643fffaef9057d9f9e48’
- dbxtool –liste | grep ‘e9e4b5a51f6a5575b9f5bfab1852b0cb2795c66ff4b28135097cba671a5491b9’
‘); function exportTableToCSV (nom de fichier) { var csv = []; en-tête var = []; var headerRow = document.querySelectorAll(“#tableCvs thead tr th”); pour (var je = 0; je
#UEFI #vulnérabilité #détectée #dans #bootloader #Howyar #Reloader