Microsoft schließt mit Verzögerung gefährliche Secure-Boot-Lücke

Microsoft hat eine kritische Sicherheitslücke in Windows geschlossen, die Angreifern seit mindestens sieben Monaten das Umgehen des Secure-Boot-Standards ermöglichte. Es ist daher dringend anzuraten, die am letzten Patch-Day veröffentlichten Updates zu installieren.

Wohl auch Linux betroffen

Die Schwachstelle mit der Kennung CVE-2024-7344 betraf Geräte, auf die Angreifer bereits privilegierten Zugriff erlangt hatten, und erlaubte es ihnen, eine bösartige Firmware beim Startvorgang auszuführen. Dadurch konnten Malware-Infektionen versteckt und hartnäckig im System verankert werden und sogar eine Neuformatierung der Festplatte oder SSD überstehen.

Secure Boot wurde 2012 eingeführt, um genau solche Angriffe zu verhindern. Es prüft beim Hochfahren eines Geräts, ob alle geladenen Firmware-Komponenten und Bootloader digital signiert und vertrauenswürdig sind. Diese Sicherheitsfunktion ist ein integraler Bestandteil der UEFI-Technologie, dem modernen Nachfolger des BIOS, das den Start von Windows- und Linux-Geräten steuert.


Die nun geschlossene Schwachstelle zeigte jedoch, dass diese Sicherheitskette durch eine unsichere UEFI-Anwendung namens reloader.efi ausgehebelt werden konnte, berichtet Ars Technica. Diese Anwendung, die Teil der Systemwiederherstellungs-Software verschiedener Anbieter war, umging die üblichen Sicherheitsprüfungen und konnte daher von Angreifern missbraucht werden.

Die fehlerhafte Anwendung wurde in folgenden Softwarepaketen entdeckt:

Bug lange bekannt

Angreifer konnten die signierte Anwendung manuell installieren und damit Schadsoftware direkt im Bootprozess verankern. Die digitale Signatur, die Microsoft nach einer internen Überprüfung der Drittanbieter-UEFI-Apps ausgestellt hatte, spielte dabei eine zentrale Rolle.

Experten wie Martin Smolár von der Sicherheitsfirma ESET kritisierten Microsoft für die Verzögerung bei der Bereitstellung des Patches. Bereits im Juni 2024 wurde die Schwachstelle dem CERT Coordination Center gemeldet. Warum es dennoch bis Januar 2025 dauerte, um die Lücke zu schließen, bleibt unklar.

Zudem ist weiterhin ungeklärt, ob Linux-Systeme ebenfalls betroffen sind. Red Hat, SuSE und Ubuntu haben bislang keine Stellungnahme dazu abgegeben.


Siehe auch: