ESET scopre 11 applicazioni UEFI vulnerabili che aggirano il Secure Boot: ecco cosa sapere
CVE-2024-7344 è la vulnerabilità UEFI Secure Boot scoperta da ESET Research che interessa 11 bootloader shim firmati da Microsoft: ecco perché è urgente aggiornare.
- ESET Research ha identificato 11 applicazioni UEFI firmate da Microsoft che permettono di aggirare il Secure Boot.
- Il problema riguarda gli shim bootloader nelle versioni 0.9 e precedenti (CVE-2024-7344).
- Non serve alcuna nuova tecnica di exploit: basta una copia del vecchio binario shim ancora non revocato.
- Qualsiasi PC UEFI che usi il certificato Microsoft Corporation UEFI CA 2011 è potenzialmente esposto.
- Gli shim compromessi consentono l’esecuzione di codice non attendibile all’avvio, aprendo la porta a bootkit UEFI.
- ESET ha segnalato tutto al CERT/CC: le applicazioni vulnerabili sono state revocate.
- Windows riceve la revoca in automatico tramite Windows Update; su Linux serve il Linux Vendor Firmware Service.
Cosa sono gli shim UEFI e perché questa vulnerabilità è diversa
Un bootloader shim è un piccolo frammento di codice che funge da ponte tra il firmware UEFI della scheda madre e il sistema operativo. Nasce per consentire l’avvio di distribuzioni Linux su hardware con Secure Boot attivo: il firmware verifica la firma dello shim (che porta la firma Microsoft), lo shim verifica a sua volta il bootloader del sistema operativo.
Il punto critico sollevato da ESET non è una falla zero-day nel codice attuale: le vulnerabilità sfruttabili in questi shim esistono da oltre un decennio. Ciò che le rende ancora pericolose è che i vecchi binari firmati, se non revocati esplicitamente, rimangono considerati attendibili dal firmware. Un aggressore con accesso fisico o privilegi sufficienti può caricare uno shim versione 0.9 o precedente, ancora valido agli occhi del Secure Boot, e usarlo per eseguire codice arbitrario prima che il sistema operativo si avvii.
“Non occorre alcuna nuova vulnerabilità per aggirare l’UEFI Secure Boot — bastano una copia di un vecchio binario shim ancora non revocato e una conoscenza di base del funzionamento degli shim UEFI”, ha dichiarato Martin Smolár, ricercatore ESET che ha scoperto i file vulnerabili.
Superficie di attacco e rischio concreto
Gli 11 shim individuati possono essere usati su qualsiasi macchina UEFI che si affidi al certificato Microsoft Corporation UEFI CA 2011, indipendentemente dal sistema operativo installato. Questo include la stragrande maggioranza dei PC con Windows 10/11 e le distribuzioni Linux che usano shim per il Secure Boot.
L’impatto pratico più grave è la possibilità di distribuire bootkit UEFI: malware che si annidano prima del caricamento del sistema operativo, invisibili agli antivirus tradizionali e capaci di sopravvivere a reinstallazioni del sistema. È lo stesso vettore usato da minacce avanzate come BlackLotus.
Come proteggersi: aggiornamenti e revoche
Microsoft ha già pubblicato le revoche UEFI aggiornate che rendono inutilizzabili gli shim vulnerabili. Di seguito lo stato degli aggiornamenti per sistema operativo:
| Sistema operativo | Metodo di aggiornamento | Automatico |
|---|---|---|
| Windows 10 / 11 | Windows Update (patch revoca UEFI) | Sì |
| Linux (distribuzioni principali) | Linux Vendor Firmware Service (LVFS) | Dipende dalla distro |
| Sistemi dual-boot | Applicare entrambi gli aggiornamenti | Parziale |
Dopo aver applicato gli aggiornamenti, verificare che il Secure Boot sia abilitato nel firmware UEFI (impostazioni BIOS/UEFI → sezione Security o Boot). Per gli ambienti aziendali, ESET raccomanda di monitorare eventi di avvio anomali e di implementare soluzioni di rilevamento a livello firmware.
Domande frequenti
Il mio PC è vulnerabile se uso solo Windows?
Potenzialmente sì, se non sono state applicate le revoche UEFI di Microsoft. Windows Update dovrebbe distribuirle automaticamente, ma è opportuno verificare che il sistema sia aggiornato.
Cosa succede se non aggiorno?
Un aggressore con accesso fisico o privilegi di sistema potrebbe caricare uno shim obsoleto per bypassare il Secure Boot e installare un bootkit UEFI, che persiste anche dopo la reinstallazione del sistema operativo.
CVE-2024-7344 riguarda solo Linux?
No. Gli shim sono firmati da Microsoft e possono essere usati su qualsiasi PC UEFI che utilizzi il certificato Microsoft CA 2011, quindi l’esposizione è indipendente dal sistema operativo.
Come faccio a sapere se il mio sistema ha già ricevuto le revoche?
Su Windows, verificare la data dell’ultimo aggiornamento via Impostazioni → Windows Update e controllare che siano installati gli aggiornamenti di sicurezza relativi a gennaio 2025. Su Linux, consultare il sito ufficiale di LVFS o il gestore pacchetti della propria distribuzione per gli aggiornamenti firmware.
Cosa sono esattamente i bootkit UEFI?
Sono malware che si installano nella partizione di sistema EFI o nel firmware, prima che il sistema operativo si carichi. Questo li rende invisibili agli strumenti di sicurezza convenzionali e resistenti alle reinstallazioni del sistema.
Vedi anche
- Jadepuffer: l’AI che scava nella sicurezza digitale
- BTMOB: il nuovo RAT furtivo che minaccia Android
- ESET Research: Spionaggio APT Globale
Fonte: comunicato stampa ufficiale di ESET Research, gennaio 2025.
