隐藏10年才曝光！Windows 11终于修复安全启动信任漏洞

7月16日消息，ESET研究人员透露，Windows系统的UEFI安全启动（Secure Boot）存在一个隐藏了10年以上的信任链漏洞。有11个由微软签名的旧版引导程序，尽管存在已知安全问题，却始终被系统信任，攻击者可借此绕过安全启动的防护机制。微软已在7月的补丁更新中对该漏洞进行了修复。

安全启动机制的目的是保证系统在启动过程中仅运行经过信任的软件，以此防范rootkit这类在启动阶段活动的恶意程序。

系统通过Secure Boot数据库（DB）和吊销数据库（DBX）分别管理受信任和不受信任的引导器列表，信任链根植于微软的UEFI证书颁发机构。

问题出在11个旧版shim第一阶段引导器上，这些引导器版本为0.9或更早，发布于2015年，主要供Linux发行版维持与安全启动的兼容性。

其中包含的安全漏洞已被认知多年，但由于大量PC仍信任微软2011年UEFI CA证书，这些旧引导器一直未被吊销。

ESET指出，这一缺陷创造了一种自带漏洞引导器的攻击场景，攻击者无需利用系统已有的漏洞引导器，只需自带一份旧版微软签名shim的副本，安全启动就会放行执行。

ESET在今年2月向CERT/CC提交了相关发现报告，之后微软把11个存在漏洞的shim二进制文件添加到UEFI禁止签名数据库（DBX）里。更新后的吊销列表随着6月的补丁KB5094126一同发布，并且也被包含在7月补丁日推出的KB5101650累积更新之中。