Prečo sú tieto zraniteľnosti tak alarmujúce?
Secure Boot je mechanizmus súčasťou moderných UEFI systémov, ktorý chráni váš počítač pred načítaním neautorizovaných bootloaderov či rootkitov ešte pred spustením operačného systému. Avšak nedávno objavené dve zraniteľnosti ukazujú, že takéto zabezpečenie môže byť dramaticky zraniteľné.
🆔 CVE‑2025‑3052: Prvý exploit – opravený
- Táto chyba sa týka „shim“ modulov, využívaných pri načítaní Linuxu aj vo Windows systémoch, podpísaných certifikátom Microsoft CA 2011.
- Útočník (aj s lokálnym prístupom a administrátorskými právami) môže vypnúť Secure Boot, čím umožní načítanie škodlivého kódu pred OS perplexity.ai+2techspot.com+2techzine.eu+2.
- Microsoft reagoval v Patch Tuesday v júni 2025, kedy vymazal 14 chybných hashov z revokačnej databázy (DBX), čím modul zakázali techspot.com+1perplexity.ai+1.
🆔 CVE‑2025‑47827 („Hydroph0bia“): Druhý exploit – bez opravy
- Ide o závažnú chybu v Linux module z IGEL pre správu dátových zväzkov, načítanú cez GRUB shim taktiež podpísaný Microsoft certifikátom .
- Výskumník Zack Didcott upozornil na túto zraniteľnosť, ale k dnešnému dňu Microsoft na ňu ešte nereagoval, ani nevyčiarkol modul z DBX techspot.com+1techzine.eu+1.
- Problém „Hydroph0bia“ môže znamenať univerzálnu cestu pre obchádzanie Secure Boot – riziko pre stovky modelov počítačov.
🧠 Čo to znamená pre používateľov i organizácie?
- Útočník s lokálnym prístupom môže spustiť škodlivé bootloadery / rootkity, ktoré bežia skôr než operačný systém.
- Antivírus ani iné bežné kontroly nemusia takéto útoky odhaliť, pretože škodlivý kód už beží skôr, než sa OS načíta.
- Táto situácia môže viesť k stealth útokom typu „evil‑maid“ alebo vzdialenému prebratiu kontroly, ak má útočník admin práva medial.app+3techzine.eu+3perplexity.ai+3.
- Secure Boot bol pôvodne navrhnutý ako ochrana pred takýmito útokmi – ale teraz je zjavne zraduľne prelomený.
🛡️ Odporúčané kroky na ochranu
- Okamžite aplikujte Microsoft aktualizácie z júnového Patch Tuesday, aby ste eliminovali CVE‑2025‑3052.
- Sledujte novinky z Microsoftu – zatiaľ žiadna oprava pre „Hydroph0bia“ nie je dostupná.
- V kritických prostrediach:
- Monitorujte UEFI/BIOS logy a stav Secure Boot udalostí.
- Zvážte dočasné obmedzenie funkčnosti shim modulov, ak je to možné.
- Nevypínajte Secure Boot bez dôvodu – aj keď systém ohlási chybu, deaktivácia je riziková.
- Pokud máte pochybnosti, znovu nainštalujte UEFI/BIOS firmware a obnovte systém – najmä v prípade podozrenia na kompromitáciu.