Une faille UEFI critique vieille de 16 ans touche EDK II et permet d'exécuter du code avant le système, lors d'un démarrage réseau.

Une faille UEFI critique, présente depuis 16 ans, vient d’être mise en lumière. Elle affecte EDK II, le code open source que la plupart des fabricants utilisent pour construire leur firmware UEFI. Ainsi, un attaquant peut exécuter du code sur une machine avant le chargement du système d’exploitation. Toutefois, ce scénario n’est possible que si la machine démarre via le réseau.

Une faille UEFI critique cachée dans EDK II

L’UEFI est le premier logiciel qui s’exécute à l’allumage d’un ordinateur. D’abord, il initialise le matériel. Ensuite, il passe la main au système d’exploitation. Son rôle est donc central dans la chaîne de confiance d’une machine.

EDK II sert de socle à de nombreux firmwares. En effet, les constructeurs s’appuient sur cette base commune pour gagner du temps. En revanche, ce choix a un revers. Un défaut dans ce code se retrouve potentiellement dans une multitude de produits.

Ici, le défaut est resté en place pendant 16 ans. Autrement dit, il a traversé de nombreuses générations de matériel sans être repéré. Cette longévité rappelle une réalité. En effet, le code de bas niveau est rarement audité avec la même intensité que les applications courantes.

Pourquoi le démarrage réseau change tout

La faille n’est exploitable que pendant un démarrage par le réseau. Ce mode, souvent appelé démarrage PXE, permet à une machine de récupérer son système depuis un serveur distant. Par ailleurs, il est très répandu dans les centres de données et les parcs de serveurs.

Les administrateurs l’apprécient pour une raison simple. Il facilite le déploiement et la réinstallation de dizaines de machines. Cependant, il expose le firmware à des échanges réseau très tôt dans le processus de démarrage.

D’après les informations disponibles, l’attaquant doit pouvoir atteindre la machine pendant cette phase. Le risque ne concerne donc pas une machine qui démarre uniquement depuis son disque local. En effet, la condition de départ limite la portée de l’attaque. Pourtant, elle ne la rend pas anodine.

Du code exécuté avant le système et avant Secure Boot

Le point le plus préoccupant tient au moment de l’exécution. Le code de l’attaquant s’exécute avant le système d’exploitation. Il agit donc en amont de la plupart des outils de sécurité installés sur la machine.

Le titre de l’alerte précise même que l’exécution intervient avant Secure Boot. Rappelons que Secure Boot vérifie la signature des composants chargés au démarrage. Son but est d’empêcher le lancement de code non autorisé. Par conséquent, si l’attaque passe avant cette vérification, cette protection perd une grande partie de son intérêt.

Un code malveillant à ce niveau offre plusieurs avantages à un pirate :

• il s’exécute avec des privilèges très élevés ;
• il échappe à la plupart des antivirus et des solutions de détection sur le système ;
• il peut survivre à certaines réinstallations, selon son mode de persistance.

Par ailleurs, les serveurs qui démarrent par le réseau constituent des cibles de choix. Ils hébergent souvent des charges critiques. Une compromission du firmware y serait donc particulièrement coûteuse.

Que faire face à cette faille UEFI ?

Les éléments transmis ne détaillent ni l’identifiant CVE, ni les versions corrigées, ni la liste des constructeurs touchés. Il est donc prudent de ne pas présumer de l’étendue exacte du problème. Les équipes doivent plutôt consulter les avis de sécurité de leurs fournisseurs.

Voici les premières mesures à envisager :

1. Inventorier les machines qui utilisent le démarrage réseau, en priorité les serveurs.
2. Interroger les constructeurs sur leur exposition et sur la disponibilité de mises à jour de firmware.
3. Appliquer les correctifs UEFI dès leur publication, en suivant une procédure de test.
4. Isoler les segments réseau dédiés au démarrage PXE, afin de limiter qui peut les atteindre.
5. Désactiver le démarrage réseau sur les machines qui n’en ont pas besoin.

De plus, il reste utile de surveiller le trafic sur les réseaux de déploiement. Par exemple, un équipement inattendu qui répond aux requêtes de démarrage doit éveiller les soupçons.

Ce qu’il faut retenir

• Une faille critique vieille de 16 ans touche EDK II, base de nombreux firmwares UEFI.
• Elle permet d’exécuter du code avant le chargement du système d’exploitation.
• Elle n’est exploitable que lors d’un démarrage par le réseau.
• Les serveurs en démarrage PXE sont les plus exposés.
• Les détails de correction doivent être vérifiés auprès de chaque constructeur.

Enfin, cet épisode illustre une réalité souvent négligée. La sécurité d’une machine commence bien avant le système d’exploitation. Le firmware mérite donc la même attention que les logiciels que l’on met à jour chaque semaine.

Source : Critical 16-Year-Old UEFI Flaw Can Run Code Before Secure Boot on Network-Booting Servers