UEFI shims: vulnerabilidades descobertas que permitem bypassar Secure Boot

Os pesquisadores da ESET descobriram 11 UEFI shim bootloaders vulneráveis assinados pela Microsoft que permitem atacantes bypassarem Secure Boot.

A ESET identificou 11 UEFI shim bootloaders antigos e esquecidos na versão 0.9 e abaixo que podem ser usados para bypassar Secure Boot em qualquer máquina baseada em UEFI que confie no certificado de autoridade de certificado UEFI (CA) da Microsoft Microsoft Corporation UEFI CA 2011, independentemente do sistema operacional (SO) instalado.

Os shims relatados podem ser explorados para executar códigos não confiáveis durante o boot do sistema, permitindo que os atacantes instalem kit de boot UEFI maliciosos (como Bootkitty, HybridPetya ou BlackLotus) mesmo em sistemas com Secure Boot habilitado.

A ESET relatou suas descobertas ao CERT/CC em fevereiro de 2026, e os aplicativos UEFI vulneráveis foram revogados na Patch Tuesday da Microsoft em 9 de junho de 2026.

Embora dois IDs de CVE tenham sido atribuídos a este caso para cobrir os shims relatados, CVE-2026-8863 e CVE-2026-10797, a exploração de cada shim relatado não é apenas sobre um único bug ou dois que podem ser encontrados em estes shims antigos diretamente.

A superfície de ataque é ampliada pelos loaders de boot confiáveis, de segunda etapa, dos shims (principalmente o GRUB 2), que – como os shims mesmos – podem incluir versões obsoletas com vulnerabilidades conhecidas.

Os shims descobertos vêm de várias ferramentas ou pacotes de software, incluindo softwares de diagnóstico de PC, distribuições Linux e outras utilidades baseadas em UEFI. Importante notar que a exploração não está limitada a sistemas com o software ou SO afetados instalados, pois os atacantes podem levar sua própria cópia dos shims vulneráveis para qualquer sistema UEFI que confie no certificado de autoridade de certificado UEFI (CA) da Microsoft.

A lista completa dos produtos de software que confiam nos shims relatados, junto com as versões afetadas, está disponível em a nota de vulnerabilidade do CERT/CC.

Em resposta ao relatório dos pesquisadores da ESET, os bootloaders de shim UEFI com os hashes de Authenticode PE a seguir foram revogados no dbx update que fez parte da Patch Tuesday da Microsoft em 9 de junho de 2026:

Para proteger seus sistemas contra essa ameaça, instale as atualizações Microsoft dbx mais recentes. As instruções podem ser encontradas na seção "Proteção e detecção".

Impostos na cadeia de confiança de Secure Boot

A compreensão do impacto que tais shims vulneráveis podem ter em sistemas Secure Boot protegidos requer uma compreensão de como funciona Secure Boot e como os loaders de boot de shims assinados estendem a cadeia de confiança de Secure Boot. Nesta seção, exploraremos as bases de Secure Boot UEFI, como os loaders de boot de shims de UEFI estendem a cadeia de confiança e duas características de shim relacionadas: Machine Owner Key (MOK) e Secure Boot Advanced Targeting (SBAT).

Para aqueles já familiares com a teoria, recomendamos saltar diretamente para a seção Bypassing UEFI Secure Boot using old shims.

Bypassing UEFI Secure Boot using old shims

A figura abaixo ilustra como os loaders de boot de shims assinados podem ser usados para bypassar Secure Boot em sistemas UEFI.

Impostos na cadeia de confiança de Secure Boot

A implementação prática para proteger contra este ataque envolve entender como a cadeia de confiança de Secure Boot é estendida pelos loaders de boot de shims. Isso inclui a compreensão de como Secure Boot funciona em geral e como os loaders de boot de shims são usados. Para mais informações, consulte "Proteção e detecção" abaixo e o "Impacto" em "Impacts".