Araştırmacı, Microsoft imzalı Linux shim ve MOK ile kurumsal cihazlarda Secure Boot zincirinin nasıl aşılabildiğini anlattı
Güvenlik araştırmacısı Leo Smith, Linux dağıtımlarının Microsoft imzalı shim bileşeni ile kendi anahtarını MOK üzerinden birleştirerek, Microsoft üçüncü taraf UEFI sertifikalarının yüklü olduğu kurumsal cihazlarda Secure Boot açıkken kendi önyükleme zincirini çalıştırabildiğini yazdı. Yazıda CVE ya da üretici açıklaması yok.
Güvenlik araştırmacısı Leo Smith, 8 Kasım'da yayımladığı blog yazısında Secure Boot açık olan kurumsal bilgisayarlarda kendi önyükleme zincirini nasıl çalıştırabildiğini anlattı. Araştırmacıya göre çalışma Nisan 2026'da yapıldı ve Hacker News'te gündem oldu.
Yazının merkezinde yeni bir yazılım hatası değil, güven modelinin kendisi var. Microsoft, "Microsoft Corporation UEFI CA 2011" sertifikasıyla Linux dağıtımlarının kullandığı shim önyükleyicisi gibi üçüncü taraf bileşenleri imzalıyor. Araştırmacı, dağıtım paketlerinden alınan imzalı bir shim'i, MOK (Machine Owner Key) yöneticisi üzerinden kaydettiği kendi imza anahtarıyla birleştirerek Secure Boot'u kapatmadan kendi zincirini başlatabildiğini yazıyor. Bunun için cihazda Microsoft üçüncü taraf sertifikalarının yüklü olması gerekiyor; araştırmacıya göre bu kurumsal cihazlarda yaygın.
Hangi cihazlar söz konusu?
Yazıda geniş bir üretici listesi yok. Araştırmacı, HP Wolf Security yüklü cihazlarda durumun karışık olduğunu (bazı makinelerde sertifikalar var, bazılarında yok) ve denediği cihazlarda firmware önyükleme menüsünün BIOS parolasıyla kilitli olmadığını belirtiyor. Yazıda CVE kimliği, Microsoft ya da donanım üreticisi açıklaması ve DBX (iptal listesi) güncellemesine dair bilgi bulunmuyor. SiberMagazin tekniği test etmedi; istismar adımlarını da aktarmıyoruz.
Neden önemli?
Secure Boot, bootkit gibi işletim sistemi öncesinde çalışan zararlılara karşı temel bir katman. Fiziksel erişimi olan bir saldırganın imzalı bileşenleri zincirleyerek bu katmanı aşabilmesi, kayıp/çalıntı dizüstü bilgisayarlar ve "kötü hizmetçi" (evil maid) senaryoları için risk anlamına geliyor. Güven, cihazda hangi sertifikaların yüklü olduğuna ve önyükleme ayarlarının ne kadar kilitli olduğuna bağlı.
Ne yapılmalı?
- Filodaki cihazlarda Microsoft üçüncü taraf UEFI CA'nın gerçekten gerekip gerekmediğini değerlendirin; yalnızca Windows çalışan cihazlarda üretici destekliyorsa bu sertifikayı devre dışı bırakma seçeneğini firmware ayarlarından inceleyin.
- Tüm kurumsal cihazlarda BIOS/UEFI yönetici parolası tanımlı olsun; önyükleme menüsü ve harici aygıttan başlatma bu parolanın arkasında kalsın.
- DBX güncellemelerini Windows ve firmware güncellemeleriyle birlikte takip edin; Secure Boot sertifika yenileme duyurularını üretici kanallarından izleyin.
- BitLocker'ı TPM ile birlikte PIN doğrulamasıyla kullanmak, önyükleme zinciri değiştiğinde disk anahtarının serbest kalmasını zorlaştırır.
- Windows cihazlarda Secure Boot durumunu Başlat › msinfo32 (Sistem Bilgisi) › "Güvenli Önyükleme Durumu" alanından kontrol edin; envanter aracınızda bu alanın raporlandığından emin olun.
