Le démarrage sécurisé montre ses vieilles rides. Onze anciens composants shim signés par Microsoft pour Linux peuvent servir de tremplin à un attaquant déjà administrateur pour contourner Secure Boot et exécuter du code avant même que le système d’exploitation ne se réveille. Rassurez-vous tout de suite : ce sont des binaires UEFI obsolètes qui posent problème, pas les machines tenues à jour.
Le timing est piquant. L’écosystème Linux jongle déjà avec le renouvellement des certificats Microsoft utilisés pour signer le chargeur de démarrage shim. Selon Microsoft, l’expiration du certificat UEFI de 2011 ne suffit pas à bloquer les systèmes déjà installés. Le vrai danger tient aux anciennes signatures, à leur révocation dans la base DBX et à la présence (ou non) du nouveau certificat dans le firmware.
Points clés
- 11 vieux shims signés par Microsoft peuvent servir à contourner Secure Boot
- L’attaque exige des privilèges administrateur préalables, pas d’accès distant
- Microsoft remplace le certificat UEFI CA 2011 par UEFI CA 2023 pour les nouvelles signatures
- Red Hat rappelle que l’expiration du certificat ne bloque pas les systèmes déjà installés
Onze shims d’un autre âge dans le viseur
Le rapport pointe 11 vieux shims signés par Microsoft. Ces fichiers occupent une place clé dans la chaîne de démarrage UEFI de nombreuses distributions Linux. Quand Secure Boot est actif, le shim joue les intermédiaires entre le firmware et le chargeur de démarrage de la distribution.
Un attaquant disposant déjà de droits administrateur peut s’appuyer sur ces versions anciennes pour contourner la vérification de Secure Boot et lancer du code avant l’OS. Pas d’attaque à distance sans privilèges initiaux ici : le scénario vise des systèmes où l’intrus a déjà mis la main sur un accès élevé et cherche à s’incruster au niveau du démarrage. Une persistance en profondeur, en somme.
Les binaires concernés renvoient à des shims très anciens, notamment des versions 0.9 et antérieures, liées à des builds non corrigés ou dérivés utilisés par plusieurs distributions. Les travaux de correction et de révocation sont déjà engagés pour les composants visés.
Secure Boot, DBX et le casse-tête des certificats
Le calendrier de 2026 n’aide pas à s’y retrouver. Microsoft a indiqué que le certificat UEFI CA 2011 expirait le 27 juin 2026, sans rendre pour autant non amorçables les systèmes déjà équipés des bonnes signatures. Le nouveau certificat UEFI CA 2023 prend désormais le relais pour les nouvelles signatures.
La fin de validité du certificat de 2011 n’empêche donc pas les shims déjà présents de démarrer. Le point sensible touche les machines dont le firmware ignore encore le nouveau certificat, ainsi que les environnements où une version vulnérable reste autorisée par la base de révocation DBX tant qu’elle n’a pas été mise à jour.
Red Hat martèle le même message : l’expiration du certificat affecte la capacité à signer de nouveaux binaires, pas le démarrage des systèmes déjà installés. En pratique, les distributions doivent publier des shims adaptés aux nouveaux certificats et les administrateurs veiller à ce que le firmware et les listes de révocation suivent le mouvement.
À vérifier côté distribution et firmware
Pour les administrateurs, la priorité tient en trois vérifications : la version du shim installée, la présence du certificat Microsoft UEFI CA 2023 dans le firmware, et l’état des mises à jour DBX. Les environnements qui roulent encore sur d’anciens shims signés avec le seul certificat de 2011 restent les plus exposés à un contournement de Secure Boot si la chaîne de confiance n’a pas été durcie.
Les distributions Linux ont déjà commencé à communiquer sur les migrations de certificats et les images d’installation à renouveler. L’enjeu est double : empêcher qu’un vieux composant vulnérable reste chargeable, et garantir que les nouveaux shims démarrent aussi bien sur du matériel ancien que sur des machines livrées avec les certificats récents. Bref, un grand ménage de printemps dans la chaîne de démarrage, pour éviter qu’une signature périmée ne devienne un passe-partout.
- 11 shims anciens peuvent permettre un contournement de Secure Boot.
- La menace vise des attaquants disposant déjà de privilèges administrateur.
- Microsoft a remplacé le certificat UEFI CA 2011 par UEFI CA 2023 pour les nouvelles signatures.
- Red Hat rappelle que l’expiration du certificat ne bloque pas, à elle seule, les systèmes déjà installés.
