Centenas de motherboards MSI comprometidas devido a reconfiguração do Secure Boot

Mais de 290 motherboards MSI estão a ser comprometidas por uma configuração insegura do UEFI Secure Boot, que permite que qualquer imagem do sistema operativo funcione independentemente de ter uma assinatura errada ou em falta. As conclusões são do investigador Dawid Potocki, que explica que a falha impacta muitas motherboards MSI baseadas na Intel e AMD que utilizam uma verão recente do firmware, afetando até os mais recentes modelos.

O Secure Boot é uma funcionalidade de segurança incorporada no firmware das motherboards UEFI, que garante que apenas software de confiança pode ser executado no processo de arranque. “Quando o PC inicia, o firmware verifica a assinatura de cada parte de software de arranque, incluindo os drivers de firmware UEFI (também conhecidos como Option ROM), aplicações EFI e o sistema operativo”, explica a Microsoft. “Se as assinaturas forem válidas, as PC boots e o firmware dão controlo ao sistema operativo”.

O investigador alega que a versão atualizada do firmware MSI 7Co2v3C, lançada há cerca de um ano, mudou uma definição do Secure Boot nas motherboards MSI para que o sistema seja iniciado mesmo detetando violações de segurança.

“Decidi configurar o Secure Boot no meu novo ambiente de trabalho com a ajuda de sbctl. Infelizmente, descobri que o meu firmware estava a aceitar todas as imagens do sistema operativo que lhe dei, independentemente de serem ou não de confiança”, explica o investigador. Como mais tarde descobriu, “não era apenas firmware danificado; A MSI tinha alterado as configurações do Secure Boot para permitir o arranque de violações de segurança”.

Esta alteração acabou por definir erradamente a definição de “Image Execution Policy” no firmware para “Always Execute” ‘by default’, permitindo que qualquer imagem inicie o dispositivo. Segundo o investigador, os utilizadores devem definir a Execution Policy para “Deny Execute” para “Removable Media” e “Fixed Media”, que só deverá permitir o arranque de software aprovado.

Dawid Potocki diz que a MSI nunca documentou a mudança e que não obteve resposta aos seus esforços de contacto da MSI sobre o assunto