Une brèche dans l’un des piliers de la sécurité informatique
ESET Research est la division de veille et de recherche de l’éditeur de cybersécurité ESET. Ses chercheurs ont identifié 11 bootloaders UEFI vulnérables.
Ces programmes de démarrage sont pourtant signés par Microsoft. Ils permettent de contourner UEFI Secure Boot, un mécanisme censé garantir qu’un ordinateur ne démarre qu’avec des logiciels de confiance, non altérés depuis leur fabrication.
Le problème ne vient pas d’une nouvelle faille technique. Il s’agit d’anciennes versions de bootloaders, datant parfois de près de dix ans, restées valides alors qu’elles auraient dû être retirées de la circulation.
« Il suffit de disposer d’une ancienne version signée, toujours considérée comme fiable mais non révoquée, et de comprendre le fonctionnement des bootloaders shim UEFI. Cela permet de neutraliser un mécanisme de sécurité pourtant essentiel. »
Un risque qui touche la quasi-totalité des ordinateurs UEFI
Les binaires concernés sont en version 0.9 ou antérieure. Ils peuvent être exploités sur n’importe quelle machine faisant confiance au certificat tiers Microsoft Corporation UEFI CA 2011, quel que soit le système d’exploitation installé.
Un attaquant n’a même pas besoin d’infecter un ordinateur en amont. Il lui suffit d’y déposer sa propre copie d’un bootloader vulnérable pour parvenir à ses fins.
Une fois Secure Boot contourné, l’attaquant peut exécuter du code non approuvé dès l’allumage de la machine. Il installe alors un bootkit UEFI : un logiciel malveillant particulièrement difficile à détecter et à éliminer, puisqu’il s’exécute avant même le système d’exploitation.
Une seule exception : les PC équipés de Windows 11 en configuration Secured-core. Cette option désactive par défaut la confiance accordée à la signature UEFI tierce de Microsoft.
Microsoft a révoqué les binaires vulnérables
ESET a alerté le CERT/CC, l’organisme américain de coordination des vulnérabilités. Microsoft a ensuite révoqué les 11 bootloaders concernés pour empêcher leur exploitation.
Cette mise à jour de sécurité se diffuse automatiquement sur les postes Windows via Windows Update. Les utilisateurs de Linux reçoivent le même correctif via le Linux Vendor Firmware Service (LVFS).
La recommandation reste simple : maintenir ses systèmes à jour. Sans l’application de ces révocations, entreprises et particuliers restent exposés à une faille pourtant déjà corrigée.
Source : « Forgotten UEFI shims undermining Secure Boot », WeLiveSecurity (ESET Research)
