“MSI avait modifié ses valeurs par défaut de démarrage sécurisé” : retour sur la vulnérabilité issue du SecureBoot qui impactait les cartes mères du fabricant !

Le 11 Décembre 2022, un chercheur sécuritaire nommé Dawid Potocki expliquait la mise en lumière d’une faille trouvée dans le Secure Boot des cartes mères MSI : le micro-logiciel acceptait ainsi tout image-système (signée ou non…) du fait que le fabricant avait, par défaut, effectuer des modifications de valeur, permettant ainsi un éventuel exploit ou une brèche sécuritaire. Si le problème à été jugulé depuis par MSI (qui, selon les propos du chercheur, n’avait pas répondu dans un premier temps mais avait publié, post-publication du PoC et quelques jours après, un billet… sur Reddit), celui-ci paraissait bien problématique pour les systèmes qui démarrait avec ces valeurs ainsi modifiés pour un Secure Boot, finalement, plus si “secure” que cela.

“Le 11 Décembre 2022, j’ai décidé de configurer Secure Boot sur mon nouveau bureau avec l’aide de sbctl. Malheureusement, j’ai découvert que mon micrologiciel… acceptait chaque image de système d’exploitation que je lui ai donnée, qu’elle soit fiable ou non […] Comme je l’ai découvert plus tard le 16 Décembre 2022, il ne s’agissait pas seulement d’un micrologiciel défectueux, MSI avait modifié ses valeurs par défaut de démarrage sécurisé pour permettre le démarrage sur des violations de sécurité (!!). Cela peut être modifié en allant à l’endroit où se trouvent les paramètres de Secure Boot sur votre carte mère. Dans mon cas, c’est dans Security\Secure Boot. De cet endroit, nous pouvons voir un menu appelé “Politique d’exécution d’image”, qui est le coupable.. Lorsque nous entrons dans le menu, nous pouvons voir les paramètres par défaut décevants. Il ne fait aucune vérification. C’est inutile. Il est juste là pour répondre aux exigences de Windows 11. Le système d’exploitation n’a aucune idée que Secure Boot ne fait rien, il sait juste qu’il est “activé“”, constatait, alors, Dawid Potocki, selon un billet sécuritaire publié le 13 Janvier 2023.

Dès lors, il était préconisé les actions suivantes :

• Concernant les supports (amovibles, fixes) : modifier “toujours exécuter” en “refuser l’exécution” ;

• Concernant “option ROM” : “refuser l’exécution” (documentation officielle de Microsoft ainsi qu’à une FAQ depuis Github) ;

Après quelques investigations auprès d’autres propriétaires possédant une carte mère MSI, il s’est avéré que le problème sécuritaire n’était pas marginal : “j’avais demandé à 2 utilisateurs de B450 TOMAHAWK MAX (merci Sage Hane et Daniel Nathan Gray) de vérifier leur firmware et quoi ? Sans surprise, il est également là. Nous avons pu déterminer que la version 7C02v3C du 18/01/2022 a introduit ce problème […] J’ai également reçu des informations d’un utilisateur de B550-A PRO (CEC) (merci Joseph Richey) qu’ils ont ce problème à partir de 7C56vH1 (2021-12-20)“, est-il précisé.

Pour en apprendre davantage sur la teneur de cette vulnérabilité, le chercheur a utilisé UEFI Internal Form Representation (UEFI IFR, via UEFITool), un outil d’extraction pour recenser l’ensemble des options de configuration du micro-logiciel de la carte mère. Le fichier binaire, intégrant les aspects techniques de “l’interface graphique“, dont les données sont à leur tour extraites (via IFRExtractor RS), a permet de voir plus en détails le traitement de l’image-système, depuis la “politique d’exécution d’image” (cf. illustrations ci-dessus). Il semble que les ordinateurs portables sous carte mère MSI ne soient pas concernés par cette vulnérabilité. Du côté des versions concernées, extrait (sélection : listing complet, recensé par le chercheur en manuel, depuis Github !) des modèles de cartes mères MSI :

“Maintenant, après avoir fait tout le travail pour MSI, je pense que je devrais leur facturer, ou ils devraient me donner un approvisionnement à vie de leurs cartes mères“, ironise le chercheur tout en pointant du doigt certains manquements critiques du fabricant, notamment à l’égard de ces fonctions sécuritaires de la carte mère, pourtant essentielles, pour un public en général peu averti ou initié sur le sujet.

Depuis le 19 Janvier 2023, MSI a publié, depuis Reddit uniquement, un communiqué sur cette faille sécuritaire : “MSI a implémenté le mécanisme de démarrage sécurisé dans nos produits de carte mère en suivant les directives de conception définies par Microsoft et AMI avant le lancement de Windows 11. Nous avons défini de manière préventive le démarrage sécurisé comme activé et “Toujours exécuter” comme paramètre par défaut pour offrir un environnement convivial […] Pour les utilisateurs très préoccupés par la sécurité, ils peuvent toujours définir “Politique d’exécution d’image” sur “Refuser l’exécution” ou d’autres options manuellement pour répondre à leurs besoins de sécurité […] MSI déploiera de nouveaux fichiers BIOS pour nos cartes mères avec “Deny Execute” comme paramètre par défaut pour des niveaux de sécurité plus élevés. MSI conservera également un mécanisme de démarrage sécurisé entièrement fonctionnel dans le BIOS pour les utilisateurs finaux afin qu’ils puissent le modifier en fonction de leurs besoins” est-il expliqué sans plus de détails… A veiller !

Sources :

• DawidPotocki – 13 Janvier 2023 – Carte mère MSI : vulnérabilité critique dans le Secure Boot,
• MSI Gaming (Reddit) – 19 Janvier 2023 – Communiqué (correctif de la vulnérabilité déployé).

Signaler une erreur

Raison: *
Erreur(s) dans l'informationFaute(s) d'orthographe(s)

Votre nom: *

Votre email: *

Détails: *

Envoyer votre message