Impatto Sistemico

Critico (75.0)

Sintesi

Ricercatori di sicurezza di ESET hanno recentemente rilevato la vulnerabilità CVE-2024-7344 relativa al bootloader UEFI “Howyar Reloader” (versione 32-bit e 64-bit), distribuito come parte di SysReturn di Howyar e di diverse altre suite di software, sviluppate da altri produttori, per il recupero del sistema in tempo reale.

Note : un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità risulta disponibile in rete.

Descrizione e potenziali impatti

Ricercatori di sicurezza di ESET hanno recentemente rilevato la vulnerabilità CVE-2024-7344 relativa al bootloader UEFI “Howyar Reloader” (versione 32-bit e 64-bit), distribuito come parte di SysReturn di Howyar e di diverse altre suite di software, sviluppate da altri produttori, per il recupero del sistema in tempo reale. Tale vulnerabilità consente l’esecuzione di software arbitrario da un percorso predefinito: lo scenario di sfruttamento prevede che un attaccante possa aggirare la funzione di Secure Boot UEFI ed eseguire codice non firmato durante il processo di avvio nel contesto UEFI.

Uso di un loader PE personalizzato

La vulnerabilità è generata dall’applicazione “reloader.efi” che fa uso di un loader PE personalizzato invece che delle funzioni standard e sicure di UEFI LoadImage e StartImage . Di conseguenza, a fronte di non adeguati controlli di sicurezza applicati da queste funzioni, l’applicazione consentirebbe, durante l’avvio del sistema, il caricamento di binari UEFI – anche non firmati – tramite un file appositamente predisposto chiamato “cloak.dat”.

Per eventuali ulteriori approfondimenti si consiglia di consultare il link all’analisi, disponibile nella sezione Riferimenti.

Tipologia

• Security Feature Bypass
• Arbitrary Code Execution

Prodotti e/o versioni affette

• Howyar SysReturn, versioni precedenti alla 10.2.023_20240919
• Greenware GreenGuard, versioni precedenti alla 10.2.023-20240927
• Radix SmartRecovery, versioni precedenti alla 11.2.023-20240927
• Sanfong EZ-back System, versioni precedenti alla 10.3.024-20241127
• WASAY eRecoveryRX, versioni precedenti alla 8.4.022-20241127
• CES NeoImpact, versioni precedenti alla 10.1.024-20241127
• SignalComputer HDD King, versioni precedenti alla 10.3.021-20241127

N.B. Come riportato dai ricercatori di ESET, gli attaccanti potrebbero sfruttare la vulnerabilità in questione anche se i prodotti sopra menzionati non sono presenti sul dispositivo target. Infatti, a determinate condizioni, è possibile distribuire il binario “reloader.efi” anche in sistemi UEFI nei quali non è presente. Per maggiori dettagli, consultare il link all’analisi, disponibile nella sezione Riferimenti.

Azioni di mitigazione

In linea con le dichiarazioni dei ricercatori di ESET, si raccomanda di mantenere costantemente aggiornati i propri dispositivi.

Si rappresenta inoltre che la vulnerabilità può essere mitigata applicando le ultime revoche UEFI da Microsoft. I sistemi Windows dovrebbero essere aggiornati automaticamente. Per i sistemi Linux, gli aggiornamenti dovrebbero essere disponibili tramite il Linux Vendor Firmware Service .

Inoltre, per verificare se le revoche necessarie sono installate sul proprio sistema, è possibile eseguire i seguenti comandi PowerShell (eseguiti con permessi elevati):

Windows

Sistemi UEFI: restituisce “True” se il Sistema è affetto da CVE-2024-7344

• [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011'

Sistemi UEFI 64-bit: restituisce “True” se il sistema è protetto (il driver vulnerabile è revocato)

• [BitConverter]::ToString((Get-SecureBootUEFI dbx).bytes) -replace '-' -match 'cdb7c90d3ab8833d5324f5d8516d41fa990b9ca721fe643fffaef9057d9f9e48'

Sistemi UEFI 32-bit: restituisce “True” se il sistema è protetto (il driver vulnerabile è revocato)

• [BitConverter]::ToString((Get-SecureBootUEFI dbx).bytes) -replace '-' -match 'e9e4b5a51f6a5575b9f5bfab1852b0cb2795c66ff4b28135097cba671a5491b9'

Linux/Unix e macOS

Eseguire i seguenti comandi su sistemi Linux/Unix e macOS:

• dbxtool --list | grep 'cdb7c90d3ab8833d5324f5d8516d41fa990b9ca721fe643fffaef9057d9f9e48'
• dbxtool --list | grep 'e9e4b5a51f6a5575b9f5bfab1852b0cb2795c66ff4b28135097cba671a5491b9'