VULNERABILITA’ SHIM FA SALTARE LA Sicurezza DI SECURE BOOT ALL’AVVIO DEL PC
Un bootloader EFI (Extensible Firmware Interface) è un tipo di bootloader specificamente progettato per interagire con il firmware UEFI (Unified Extensible Firmware Interface). Quest’ultimo sostituisce il BIOS tradizionale nei moderni sistemi informatici. Il bootloader è un componente cruciale nel processo di avvio di un sistema operativo, poiché è responsabile di caricare il sistema operativo in memoria e avviare l’esecuzione del kernel.
Tra le funzionalità che UEFI integra c’è anche Secure Boot, peraltro diventato un requisito essenziale per l’installazione di Windows 11. Uno strumento di sicurezza come Secure Boot ha come obiettivo quello di proteggere il processo di avvio del sistema da malware e Software non autorizzati, verificando digitalmente l’integrità dei componenti chiave durante l’avvio. Con Secure Boot attivo, ogni componente caricato in fase di avvio del dispositivo, inclusi bootloader, kernel e driver, deve essere dotato di una firma digitale riconosciuta e accettata.
LA VULNERABILITA’ IN SHIM CHE FA TRABALLARE L’INTERO SECURE BOOT
Quando emergono vulnerabilità di sicurezza che vanno a impattare direttamente sul funzionamento e sulla sicurezza di Secure Boot, è sempre bene drizzare le antenne. Il rischio potrebbe essere quello che eventuali aggressori possano disporre il caricamento di codice arbitrario, non firmato digitalmente, all’avvio del sistema. Bill Demirkapi (Microsoft Security Response Center) ha scoperto una falla critica all’interno di shim, il componente software che agisce come intermediario tra il firmware di avvio e il sistema operativo. Il meccanismo shim è spesso utilizzato nei casi in cui il sistema operativo o il booloader non dispongono di una firma digitale valida accettata da Secure Boot. Shim agisce come un ponte tra Secure Boot e il sistema operativo o il bootloader di terze parti che altrimenti potrebbero non essere considerati affidabili. È proprio la soluzione che ha adottato lo sviluppatore di Rufus per renderlo compatibile con Secure Boot e assicurare il corretto caricamento all’avvio di qualunque software senza la necessità di disattivare la protezione a livello di BIOS UEFI. Demirkapi spiega che la vulnerabilità CVE-2023-40547 può essere sfruttata per condurre un attacco di tipo buffer overflow e provocare il caricamento di codice potenzialmente dannoso, superando i controlli e le restrizioni normalmente imposti da Secure Boot.
L’ORIGINE DEL PROBLEMA DI SICUREZZA E LE SUE CONSEGUENZE
Come spiega il ricercatore Microsoft, un attaccante può usare il metodo shim per recuperare file tramite HTTP o protocolli simili. Le versioni vulnerabili di shim cercano infatti di allocare un buffer basato sulla dimensione specificata in un’intestazione HTTP. La dipendenza da dati esterni, manipolabili “ad arte”, insieme alla presenza di metadati legati all’architettura stessa del protocollo, permette agli aggressori di sfruttare una situazione che può portare ad attacchi buffer overflow. Il risultato è che il sistema protetto da Secure Boot, aprendosi all’esecuzione di codice arbitrario, può passare sotto il controllo dell’aggressore. Questi, infatti, diventa in grado di eseguire operazioni non permesse da Secure Boot. Nell’ultima versione di shim troviamo già traccia della patch correttiva che nel frattempo gli sviluppatori hanno già applicato. Tuttavia, la persistenza del bug in ogni bootloader Linux utilizzato nel corso degli ultimi dieci anni, mette in evidenza le vaste implicazioni della falla ora tracciata con l’identificativo CVE-2023-40547. La vulnerabilità in questione non soltanto mette alla prova l’efficacia di Secure Boot, ma suona come un nuovo campanello di allarme che dimostra quanto la sicurezza delle piattaforme informatiche moderne sia tutt’altro che scontata.
Credit immagine in apertura: Microsoft Bing Image Creator.