微软发现Windows 11修复保险启动信赖漏洞，隐藏10年真相曝光

7月16日消息，据ESET研究人员披露，Windows系统UEFI安全启动（Secure Boot）存在一处潜伏超过10年的信任链缺陷。11个由微软签名的旧版引导器虽然含有已知漏洞，却一直被信任，攻击者可利用这一点绕过安全启动保护。微软已在7月补丁日更新中将其封杀。

安全启动机制旨在确保系统启动过程中只运行受信任的软件，防止rootkit等启动阶段恶意程序。

系统通过Secure Boot数据库（DB）和吊销数据库（DBX）分别管理受信任和不受信任的引导器列表，信任链根植于微软的UEFI证书颁发机构。

问题出在11个旧版shim第一阶段引导器上，这些引导器版本为0.9或更早，发布于2015年，主要供Linux发行版维持与安全启动的兼容性。

其中包含的安全漏洞已被认知多年，但由于大量PC仍信任微软2011年UEFI CA证书，这些旧引导器一直未被吊销。

ESET指出，这一缺陷创造了一种自带漏洞引导器的攻击场景，攻击者无需利用系统已有的漏洞引导器，只需自带一份旧版微软签名shim的副本，安全启动就会放行执行。

ESET于今年2月将发现报告给CERT/CC，随后微软将11个存在漏洞的shim二进制文件加入UEFI禁止签名数据库（DBX）。更新后的吊销列表随6月补丁KB5094126发布，并包含在7月补丁日的KB5101650累积更新中。