Microsoftの2011年版セキュアブート証明書が6月24日失効、未パッチ環境はUEFIブートキットへの保護喪失

UEFIの信頼の連鎖を支える2011年発行のMicrosoftセキュアブート証明書3件が、6月24日に失効する。この更新は、ほぼすべてのWindowsおよびLinuxデバイスでセキュアブートの回避を可能にした2023年の画像解析の脆弱性「LogoFail」によって余儀なくされたものだ。ほとんどのWindowsマシンは通常の月例パッチを通じて2023年版の代替証明書を取得するが、Linuxユーザーは各ディストリビューションから更新されたUEFI shimを入手する必要がある。期限に間に合わなかったシステムも通常のブート機能は維持されるが、BlackLotusのようなUEFIブートキットを含む新たなファームウェアレベルの攻撃に対する保護を失うことになる。

出典： wired.com ↗

Secure Boot関連のキーを更新できないマシンは機能し続けるが、新しいUEFIの脅威から保護されなくなる。

記事本文

なぜ重要か

→ パッチ未適用システムは、ファームウェアレベルのマルウェアに対するSecure Boot保護を失う。
→ UEFIブートキットは、OSの再インストールやアンチマルウェア検出を生き残る。
→ LogoFailの脆弱性により、業界全体でキーのローテーションが義務付けられた。

攻撃を受けるファームウェア