Microsoft는 Secure Boot Zero에 대한 선택적 수정 사항을 발행합니다.

Jun 29, 2023

Microsoft는 완전히 패치된 Windows 시스템을 감염시키기 위해 BlackLotus UEFI 악성 코드가 악용하는 보안 부팅 제로 데이 취약점을 해결하기 위한 보안 업데이트를 출시했습니다.

보안 부팅은 UEFI(Unified Extensible Firmware Interface) 펌웨어 및 TPM(신뢰할 수 있는 플랫폼 모듈) 칩이 있는 컴퓨터에서 OEM이 신뢰할 수 없는 부트로더를 차단하여 시작 프로세스 중에 루트킷이 로드되는 것을 방지하는 보안 기능입니다.

Microsoft 보안 대응 센터 블로그 게시물에 따르면 이 보안 결함(CVE-2023-24932로 추적됨)은 작년 BlackLotus 공격에서 악용된 또 다른 Secure Boot 버그인 CVE-2022-21894용으로 출시된 패치를 우회하는 데 사용되었습니다.

"이 공격으로부터 보호하기 위해 Windows 부팅 관리자에 대한 수정 사항(CVE-2023-24932)이 2023년 5월 9일 보안 업데이트 릴리스에 포함되어 있지만 기본적으로 비활성화되어 보호 기능을 제공하지 않습니다."라고 회사는 말했습니다.

"이 취약점을 통해 공격자는 보안 부팅이 활성화된 동안 UEFI(Unified Extensible Firmware Interface) 수준에서 자체 서명된 코드를 실행할 수 있습니다.

"이는 위협 행위자가 주로 지속성 및 방어 회피 메커니즘으로 사용합니다. 성공적인 악용은 공격자가 대상 장치에 대한 물리적 액세스 또는 로컬 관리자 권한을 가지고 있는지 여부에 달려 있습니다."

온프레미스, 가상 머신, 클라우드 기반 장치를 포함하여 보안 부팅 보호가 활성화된 모든 Windows 시스템은 이 결함의 영향을 받습니다.

그러나 오늘 출시된 CVE-2023-24932 보안 패치는 지원되는 Windows 10, Windows 11 및 Windows Server 버전에서만 사용할 수 있습니다.

시스템에서 보안 부팅 보호가 활성화되어 있는지 확인하려면 Windows 명령 프롬프트에서 msinfo32 명령을 실행하여 시스템 정보 앱을 열 수 있습니다.

"시스템 요약"을 선택한 후 창 왼쪽에 "보안 부팅 상태 ON" 메시지가 표시되면 보안 부팅이 켜진 것입니다.

오늘 Redmond가 발표한 보안 업데이트에는 Windows 부팅 관리자 수정 사항이 포함되어 있지만 기본적으로 비활성화되어 있으며 BlackLotus 공격에 악용되는 공격 벡터는 제거되지 않습니다.

Windows 장치를 보호하려면 고객은 "이 업데이트를 활성화하기 전에 부팅 가능한 미디어를 업데이트하고 취소를 적용하기 위한" 여러 수동 단계가 필요한 절차를 거쳐야 합니다.

Secure Boot CVE-2023-24932 우회 버그에 대한 보호를 수동으로 활성화하려면 다음 단계를 정확한 순서대로 수행해야 합니다(그렇지 않으면 시스템이 더 이상 부팅되지 않습니다).

또한 Microsoft는 CVE-2023-24932 보호 활성화로 인한 고객 영향을 줄이기 위해 이 보안 결함을 해결하는 보호 기능을 강화하는 단계적인 접근 방식을 취하고 있습니다.

출시 일정에는 다음 세 단계가 포함됩니다.

또한 Microsoft는 CVE-2023-24932 완화가 완전히 배포되면 변경 사항을 되돌릴 수 있는 방법이 없다고 고객에게 경고했습니다.

마이크로소프트는 "이 문제에 대한 완화가 장치에서 활성화되면, 즉 취소가 적용되었음을 의미하며 해당 장치에서 보안 부팅을 계속 사용하면 되돌릴 수 없다"고 말했다.

"이미 적용된 취소는 디스크를 다시 포맷해도 제거되지 않습니다."

업데이트: 이것이 선택적 수정임을 설명하기 위해 제목을 수정했습니다.

BlackLotus Windows UEFI 악성 코드의 소스 코드가 GitHub에서 유출되었습니다.

새로운 P2PInfect 웜 악성코드는 Linux 및 Windows Redis 서버를 표적으로 삼습니다.

CISA, 정부 기관에 Windows 및 Office 제로데이 완화 명령

Microsoft 2023년 7월 패치 화요일, 6개의 제로데이, 132개의 결함 경고

Apple, iMessage를 통해 삼각측량 스파이웨어를 배포하는 데 사용되는 제로데이 수정