Juni-Patchday: Microsoft beseitigt Secure Boot Bypass

Microsofts Juni-Updates für Windows enthalten auch einen Patch, der verhindern soll, dass Hacker Windows-PCs mit einer Bootkit-Malware angreifen können. Entdeckt wurde die Anfälligkeit vom Binarly-Sicherheitsforscher Alex Matrosov, der den Bug als schwerwiegend einstuft. In einem Blogbeitrag beschreibt er die Schwachstelle mit der Kennung CVE-2025-3052 als einen Speicherfehler, der eine Codeausführung erlaubt.

„Angreifer können diese Schwachstelle ausnutzen, um unsignierten Code während des Bootvorgangs auszuführen und so Secure Boot zu umgehen und die Vertrauenskette des Systems zu gefährden“, schreibt Matrosov. „Da der Code des Angreifers ausgeführt wird, bevor das Betriebssystem überhaupt geladen ist, öffnet er Angreifern die Tür, um Bootkits zu installieren und die Sicherheitsvorkehrungen auf Betriebssystemebene zu untergraben.“

Da Bootkit-Malware ausgeführt wird, bevor ein PC startet, kann sie die üblichen Sicherheitsvorkehrungen umgehen und sich der Erkennung entziehen. Angreifer wiederum erhalten so in der Regel die Kontrolle über einen PC, um ihn mit zusätzlicher Malware zu infizieren oder auf vertrauliche Daten zuzugreifen.

Eigentlich wurde Microsoft Secure Boot für Windows-PCs eingeführt, um zu verhindern, dass Schadsoftware während des Startvorgangs geladen wird. Verfügbar ist Secure Boot auf PCs, die den BIOS-Nachfolger Unified Extensible Firmware Interface (UEFI) verwenden.

Die Schwachstelle erlaubt es einem Angreifer jedoch, eine anfällige UEFI-Anwendung mit Microsoft-Zertifikaten von Drittanbietern zu signieren. Damit wird dem Schadcode letztlich ein Freibrief ausgestellt, um Secure Boot zu umgehen. Ein Exploit für die Schwachstelle ist bisher nicht bekannt – die schädliche Anwendung existiert indes seit Ende 2022. Zu dem Zeitpunkt wurde sie auf die Sicherheits-Website Virus Total hochgeladen, wo sie von Matrosov entdeckt wurde.

Der von Microsoft entwickelte Patch ist in den Juni-Updates für Windows 10 und Windows 11 enthalten. Die Verteilung erfolgt bereits über Windows Update. Zum Abschluss der Installation ist ein Neustart erforderlich.