Alte Microsoft-Signaturen: Linux-UEFI-Shims gefährden Sec…

Sicherheitsforscher entdeckten elf alte, Microsoft-signierte UEFI-Apps, die Secure Boot umgehen können. Angreifer könnten damit Bootkits einschleusen. E…

Was ist passiert?

Cybersecurity-Forscher haben elf alte, von Microsoft signierte UEFI-Anwendungen (Shims) entdeckt, die es Angreifern ermöglichen, Secure Boot zu umgehen. Diese Shims wurden ursprünglich entwickelt, um Linux-Systeme auf Geräten mit aktiviertem Secure Boot zu starten. Doch aufgrund ihres Alters fehlen ihnen wichtige Sicherheitsupdates.

Ein Angreifer kann eine dieser signierten, aber veralteten Shims ausnutzen, um während des Systemstarts nicht vertrauenswürdigen Code auszuführen. Das ermöglicht die Installation von UEFI-Bootkits oder anderer Malware, lange bevor das Betriebssystem geladen wird.

Warum sind gerade Linux-Shims betroffen?

Microsofts Secure-Boot-Programm erfordert, dass Bootloader und Treiber von einer vertrauenswürdigen Stelle signiert werden. Linux-Shims sind kleine Programme, die diese Signaturprüfung überbrücken und dann den eigentlichen Linux-Bootloader laden. Wenn diese Shims jedoch nicht aktualisiert werden, bleiben alte, unsichere Versionen gültig signiert – und damit nutzbar für Angreifer.

Konkret geht es um elf verschiedene Shims, die zwischen 2012 und 2018 signiert wurden. Sie alle sind noch immer in der UEFI-Datenbank von Microsoft registriert. Das Problem: Selbst wenn ihre Sicherheitslücken bekannt sind, widerruft Microsoft die Signaturen nicht automatisch. Es liegt an den Herstellern, die Datenbanken zu aktualisieren.

Wer ist betroffen? Und was können Sie tun?

Praktisch jedes Gerät mit UEFI und aktiviertem Secure Boot könnte verwundbar sein – das betrifft die meisten Windows- und Linux-Rechner der letzten zehn Jahre. Besonders gefährdet sind Systeme, die selten Firmware-Updates erhalten, wie ältere Unternehmens-PCs oder eingebettete Geräte.

Überprüfen Sie, ob Ihr Hersteller ein BIOS-Update bereitstellt, das die gefährdeten Shims widerruft. Aktivieren Sie zusätzlich den „Setup-Modus“ oder „Custom Secure Boot“ in Ihrem UEFI-Menü (falls verfügbar), um nur selbst ausgewählte Signaturen zuzulassen. Und: Halten Sie Ihr System immer aktuell.

Eine einfache, aber wirksame Maßnahme: Nutzen Sie nur aktuelle Linux-Distributionen, die eigene, aktualisierte Shims mitbringen. Microsoft hat die Shims zwar nicht selbst veröffentlicht, aber durch die Signatur ermöglicht – das ist ein heikler Punkt.

Ein historisches Problem mit neuer Dringlichkeit

Dies ist nicht das erste Mal, dass alte Signaturen Probleme bereiten. Schon 2020 nutzte der „BootHole“-Exploit eine Lücke im GRUB2-Bootloader. Der Unterschied: Diesmal sind es die Shims selbst, die die Sicherheitskette durchbrechen. Und weil Microsoft Signaturen nur selten widerruft, bleiben diese Hintertüren jahrelang offen.

Die elf betroffenen Shims stammen von verschiedenen Entwicklern, darunter auch von großen Distributionen wie Ubuntu und Fedora. Einige wurden bereits vor über zehn Jahren signiert – eine halbe Ewigkeit in der IT-Sicherheit.

Fazit: Vertrauen ist gut, Kontrolle ist besser

Secure Boot ist ein mächtiges Werkzeug, aber kein Allheilmittel. Die aktuellen Funde zeigen, dass auch signierte Komponenten zur Gefahr werden können, wenn sie nicht gepflegt werden. Sie sollten sich nicht blind auf die Signatur einer Drittanbieter-Firma verlassen – auch nicht auf die von Microsoft.

Prüfen Sie Ihre Firmware-Einstellungen, installieren Sie Updates und hinterfragen Sie, wem Sie vertrauen. Denn im Bootprozess gibt es keine zweite Chance.