اكتشف باحثو الأمن السيبراني 11 تطبيقًا قديمًا موقعة من Microsoft وواجهة البرامج الثابتة الموحدة القابلة للتوسيع (UEFI) والتي يمكن إساءة استخدامها لتجاوز Secure Boot في معظم الأنظمة التي تستخدم معيار البرامج الثابتة الحديث.
وقال مارتن سمولار، الباحث في شركة ESET، في تقرير نُشر اليوم: “يمكن للمهاجم الذي يستغل أحد هذه التطبيقات الضعيفة تنفيذ تعليمات برمجية غير موثوقة أثناء تشغيل النظام، مما يتيح نشر مجموعات تمهيد UEFI الضارة أو غيرها من البرامج الضارة”.
تعرض أدوات تحميل التمهيد الخاصة بـ UEFI أي جهاز يستند إلى UEFI ويثق في شهادة “Microsoft Corporation UEFI CA 2011” التابعة لجهة خارجية UEFI، بغض النظر عن نظام التشغيل المثبت. يتم استخدام الشهادة لتوقيع مكونات التمهيد التابعة لجهات خارجية والمخصصة للتشغيل ضمن التمهيد الآمن. انتهت صلاحيته اعتبارًا من 27 يونيو 2026، وتم استبداله بـ Microsoft UEFI CA 2023 وMicrosoft Option ROM UEFI CA 2023.
إن الرقائق عبارة عن أداة تحميل تشغيل UEFI خفيفة الوزن ومفتوحة المصدر تعمل كوسيط بين البرامج الثابتة للوحة الأم للكمبيوتر ونظام التشغيل Linux. الغرض الأساسي منه هو السماح لتوزيعات Linux بالتمهيد عند تمكين Secure Boot. تجدر الإشارة إلى أن الرقائق نفسها موقعة بمفتاح موثوق به بواسطة البرنامج الثابت، وغالبًا ما يكون توقيع Microsoft، حيث تأتي شهاداتها مثبتة مسبقًا على الأجهزة المستندة إلى UEFI.
يستمر التسلسل على النحو التالي: يقوم برنامج UEFI الثابت بتحميل الرقائق والتحقق من صحة توقيعه مقابل Microsoft CA المخزن في البرنامج الثابت. تقوم الرقائق بعد ذلك بالتحقق من صحة أداة تحميل التشغيل للمرحلة الثانية (في معظم الحالات، GRUB 2) مقابل شهادة البائع المضمنة الخاصة بها. يقوم GRUB 2 أخيرًا بالتحقق من صحة النواة باستخدام نفس شهادة البائع.
قالت شركة الأمن السيبراني السلوفاكية إن الحشوات القديمة ولكن الموثوقة يمكن استغلالها لتنفيذ تعليمات برمجية عشوائية عند تشغيل النظام، مما يسمح للجهات الفاعلة السيئة بنشر مجموعات تمهيد UEFI مثل Bootkitty أو HybridPetya أو BlackLotus حتى عند تمكين حماية التمهيد الآمن.
تم منذ ذلك الحين إلغاء برامج تحميل التشغيل UEFI لمشروع الرقائق مفتوح المصدر، بشكل أساسي من الإصدار 0.9 والإصدارات الأقدم، كجزء من تحديث تصحيح الثلاثاء لشهر يونيو 2026 بعد الكشف المسؤول في وقت سابق من شهر فبراير. قائمة محمل الإقلاع المتأثر هي أدناه –
- Spyrus WTGCreator من محمل الرقائق UEFI (0.7 أو أقل)
- RedHat RedHat Enterprise Linux (7.2) من أداة تحميل الرقائق UEFI (0.9)
- RedHat CentOS (7.2) من محمل الرقائق UEFI (0.9)
- برنامج Baramundi baramundi Management Suite (حتى 2024R1) من محمل الرقائق UEFI (0.8)
- WhiteCanyon/Blancco WipeDrive (8.0.0 إلى 8.1.3) من محمل الرقائق UEFI (0.7)
- مجلس امتحانات شهادة الثانوية العامة في فنلندا Abitti 1 (1.0) من محمل الرقائق UEFI (0.8)
- NTC IT ROSA, LLC ROSA Linux (R10, R9) من محمل الرقائق UEFI (0.9)
- Oracle America, Inc. OracleLinux (7.2) من أداة تحميل الرقائق UEFI (0.9)
- PC-Doctor, Inc. مركز خدمة PC Doctor (15، 16) من أداة تحميل الرقائق UEFI (0.9)
- محمل OpenSuse OpenSuse UEFI Shim (0.9)
- OpenSuse OpenSuse Shim (2.1) من محمل UEFI Shim (0.9)
نتيجة لهذه الثغرة هي أن المهاجم يمكن أن يستغل أدوات تحميل الإقلاع الحساسة هذه لتجاوز آليات الأمان الأحدث من خلال الاستفادة من تقنية الهجوم إحضار برنامج التشغيل الضعيف الخاص بك (BYOVD) لتشغيل تعليمات برمجية عشوائية أثناء مرحلة التمهيد المبكرة، حتى قبل تهيئة نظام التشغيل.
تأتي أنظمة Linux أيضًا مزودة بميزة أمان تسمى القائمة المسموح بها لمفتاح مالك الجهاز (MOK) والتي تتيح للمستخدمين السماح بتحميل برامج التشغيل غير الموقعة أثناء تنشيط UEFI Secure Boot. على الرغم من تقديم قائمة رفض MOK في الإصدار 0.9 كوسيلة لإلغاء شهادات التوقيع القديمة المرتبطة بإصدارات UEFI الثنائية الضعيفة وإعادة التوقيع المصححة.
في هذا السياق، يمكن للمهاجم استبدال شريحة الضحية المحدثة بطبقة UEFI قديمة موقعة من Microsoft وتجاوز فرض قائمة رفض MOK من خلال الاستفادة من حقيقة أن القائمة المسموح بها لا تزال تثق في الشهادة القديمة. وهذا بدوره يمكن أن يسمح لرقاقة المهاجم بتحميل الثنائيات الضعيفة دون قيود والحصول على تنفيذ تعليمات برمجية عشوائية.
هذا ليس كل شيء. يقوم الهجوم أيضًا بتخريب الاستهداف الآمن للتمهيد المتقدم (SBAT)، والذي تم تصميمه لإلغاء مكونات التمهيد الضعيفة بدلاً من الاحتفاظ بقائمة حظر ضخمة من تجزئات التشفير الفردية المقابلة لكل ملف. وبعبارة أخرى، يتم استخدام الآلية لتحديث الحد الأدنى المقبول من الجيل كلما تم اكتشاف ثغرة أمنية في مكون سلسلة التمهيد. إذا كانت محاولة التمهيد تستخدم إصدارًا قديمًا ومعرضًا للخطر، فسيقوم النظام بحظره ويؤدي إلى حدوث خطأ.
قال مركز تنسيق CERT (CERT/CC)، في تقرير استشاري صدر الشهر الماضي، إن أدوات تحميل التشغيل الخاصة بالبائعين لم يتم تحديثها لمعالجة نقاط الضعف في المشروع الأولي بعد أن أصبحت معروفة علنًا وتم إصلاحها.
“ونتيجة لذلك، ظلت أدوات تحميل التشغيل الضعيفة موقعة وموثوقة من قبل أنظمة التشغيل الآمن لأنه لم يتم إبطالها من خلال قائمة إبطال DBX الموقعة من Microsoft”. “وقد أدى هذا إلى تعرض سلسلة التوريد على المدى الطويل حيث لا يزال من الممكن تنفيذ مكونات التمهيد القديمة والضعيفة على أنظمة مصححة بالكامل.”
والنتيجة هي أن المهاجم الذي يتمتع بامتيازات إدارية أو القدرة على تعديل عملية التمهيد يمكن أن يسيء استخدام أحد أدوات تحميل التمهيد الضعيفة المذكورة أعلاه لتجاوز حماية التمهيد الآمن وتنفيذ تعليمات برمجية عشوائية قبل تحميل نظام التشغيل، مما يمهد الطريق لاستمرارية راسخة يمكن أن تنجو من عمليات إعادة تشغيل نظام التشغيل، وفي حالات قليلة، إعادة تثبيته.
ونظرًا لأن كل هذا يحدث قبل تهيئة نظام التشغيل ومنتجات الأمان، فإن التعليمات البرمجية الضارة التي يتم تنفيذها من خلال أدوات تحميل التشغيل يمكنها أيضًا تجنب الكشف عن طريق عناصر التحكم الأمنية المضمنة وحلول اكتشاف نقطة النهاية والاستجابة لها (EDR).
يتم تعقب المشكلات ضمن معرفات CVE CVE-2026-8863 وCVE-2026-10797، حيث يشير الأخير إلى مشكلة تم تصحيحها منذ فترة طويلة في الرقائق التي سمحت بتجاوز آلية الإلغاء المستندة إلى الشهادة عن طريق تعديل رأس توقيع أداة تحميل التشغيل للمرحلة الثانية.
حذرت ESET من أن انتهاء صلاحية شهادة “Microsoft Corporation UEFI CA 2011” ليس له أي تأثير على عملية التحقق من التمهيد الآمن طالما أن أدوات تحميل التشغيل الموقعة بالشهادة منتهية الصلاحية لم يتم إبطالها بشكل صريح بواسطة التجزئة.
وقالت شركة ESET: “ما يجعل هذه الحشوات القديمة خطيرة ليس وجود ثغرة أمنية جديدة، بل هو عدم الحاجة إلى ثغرة أمنية جديدة لتجاوز UEFI Secure Boot”. “لا يحتاج المهاجم إلى أدوات استغلال معقدة – فقط نسخة من ملف ثنائي قديم، لا يزال موثوقًا به، ولكن لم يتم إبطاله وفهم أساسي لكيفية عمل حشوات UEFI. وهذا يكفي لتجاوز ميزة الأمان الأساسية مثل UEFI Secure Boot.”
