CVE-2025-3052 — Updated!
CVE-2025-3052 पर शोध, एक Insyde फर्मवेयर भेद्यता जो सुरक्षा-महत्वपूर्ण पॉइंटर्स को संशोधित करने में सक्षम एक मनमाना राइट प्रिमिटिव को उजागर करती है।
🐞 CVE-2025-3052: IhisiParamBuffer मेमोरी करप्शन
यह रिपॉज़िटरी CVE-2025-3052 से संबंधित शोध सामग्री को केंद्रीकृत करती है, जो Microsoft के तृतीय-पक्ष प्रमाणपत्र के साथ हस्ताक्षरित एक UEFI मॉड्यूल में मेमोरी करप्शन भेद्यता है, जो एक हमलावर को सुरक्षा-महत्वपूर्ण फर्मवेयर संरचनाओं को दूषित करने, Secure Boot प्रवर्तन को निष्क्रिय करने, और ऑपरेटिंग सिस्टम लोड होने से पहले मनमाना अहस्ताक्षरित कोड निष्पादित करने की अनुमति देती है। इसमें मूल कारण और शोषण तकनीक का तकनीकी विश्लेषण, वास्तविक दुनिया और शैक्षिक भेद्य बाइनरीज़, और सहायक दस्तावेज़ीकरण शामिल हैं, जिनका उद्देश्य शोधकर्ताओं को इस भेद्यता वर्ग को समझने, पुनरुत्पादित करने और प्रयोग करने में मदद करना है।
📑 विषय-सूची
- मूल खोज और आधिकारिक संदर्भ
- भेद्य बाइनरीज़ (वास्तविक दुनिया / शैक्षिक)
- भेद्यता अवलोकन (विश्लेषण, शोषण, PoC)
🧠 मूल खोज और आधिकारिक संदर्भ
CVE-2025-3052 की मूल रूप से खोज Binarly Research Team द्वारा की गई और जिम्मेदारीपूर्वक प्रकट की गई। आधिकारिक और सामुदायिक संदर्भ:
- Binarly Research Blog (10 जून, 2025)
- सामुदायिक संदर्भ संग्रह
🐜 भेद्य बाइनरीज़
इस रिपॉज़िटरी में दो भेद्य बाइनरीज़ शामिल हैं, जो विभिन्न शोध और सीखने के उद्देश्यों के साथ प्रदान की गई हैं।
🧨 वास्तविक दुनिया की भेद्य बाइनरी
यह बाइनरी उस भेद्यता का प्रतिनिधित्व करती है जैसी वह वास्तविक दुनिया में मौजूद थी।
- CVE-2025-3052 से प्रभावित मूल भेद्य UEFI एप्लिकेशन।
- वास्तविक दुनिया के विश्लेषण और रिवर्स इंजीनियरिंग के लिए अभिप्रेत।
- Microsoft के तृतीय-पक्ष UEFI प्रमाणपत्र के साथ हस्ताक्षरित।
- सार्वजनिक मैलवेयर रिपॉज़िटरीज़ से निकाली गई:
🎓 शैक्षिक भेद्य बाइनरी
- एक सरलीकृत शैक्षिक UEFI एप्लिकेशन का पूर्णतः संकलन-योग्य स्रोत कोड।
- वास्तविक दुनिया की बाइनरी के समान भेद्यता परिसर को पुनरुत्पादित करता है।
- शुरुआती लोगों की मदद के लिए डिज़ाइन किया गया:
- मूल बाइनरी का विश्लेषण करने की दिशा में धीरे-धीरे आगे बढ़ें।
- प्रारंभिक चरणों में भारी रिवर्स इंजीनियरिंग से बचें।
- भेद्यता की कार्यप्रणाली को समझें।
🧪 भेद्यता अवलोकन (विश्लेषण, शोषण, PoC)
CVE-2025-3052 एक Secure Boot बायपास भेद्यता है जो UEFI सिस्टम को प्रभावित करती है, जो एक हस्ताक्षरित UEFI एप्लिकेशन के अंदर NVRAM वेरिएबल से प्राप्त डेटा के असुरक्षित प्रबंधन के कारण होती है। यह भेद्यता एक हमलावर को बूट प्रक्रिया के दौरान सुरक्षा-महत्वपूर्ण फर्मवेयर संरचनाओं को दूषित करने, UEFI विश्वास की श्रृंखला को प्रभावी ढंग से तोड़ने, और ऑपरेटिंग सिस्टम लोड होने से पहले अहस्ताक्षरित कोड के निष्पादन को सक्षम करने की अनुमति देती है।
इस भेद्यता को विशेष रूप से प्रभावशाली बनाने वाली बात केवल बग की प्रकृति नहीं है, जो एक मेमोरी करप्शन प्रिमिटिव है, बल्कि वह संदर्भ है जिसमें यह मौजूद है: Microsoft के तृतीय-पक्ष UEFI प्रमाणपत्र के साथ हस्ताक्षरित एक UEFI मॉड्यूल, जो अधिकांश आधुनिक सिस्टम पर डिफ़ॉल्ट रूप से विश्वसनीय है। परिणामस्वरूप, शोषण प्लेटफ़ॉर्म के सबसे प्रारंभिक और सबसे विशेषाधिकार प्राप्त निष्पादन चरणों में से एक पर होता है, OS-स्तरीय सुरक्षा नियंत्रणों से पहले।
🔐 Secure Boot और Microsoft प्रमाणपत्र
Secure Boot UEFI की एक मुख्य सुरक्षा सुविधा है जिसे फर्मवेयर से ऑपरेटिंग सिस्टम तक प्लेटफ़ॉर्म की विश्वास श्रृंखला को लागू करने के लिए डिज़ाइन किया गया है। इसका प्राथमिक उद्देश्य अनधिकृत या दुर्भावनापूर्ण बूट घटकों, जैसे बूटकिट्स, को बूट प्रक्रिया के दौरान निष्पादित होने से रोकना है।
उच्च स्तर पर, Secure Boot UEFI निष्पादन योग्य फ़ाइलों को चलाने की अनुमति देने से पहले उन्हें क्रिप्टोग्राफ़िक रूप से सत्यापित करके काम करता है। यह सत्यापन दो फर्मवेयर-अनुरक्षित डेटाबेस का उपयोग करके किया जाता है:
- db: विश्वसनीय Authenticode हैश और विश्वसनीय रूट प्रमाणपत्र शामिल हैं।
- dbx: निरस्त या स्पष्ट रूप से अविश्वसनीय हैश और प्रमाणपत्र शामिल हैं।
एक UEFI एप्लिकेशन को निष्पादित करने की अनुमति तब दी जाती है जब या तो:
- इसका Authenticode हैश db में किसी प्रविष्टि से मेल खाता है, या
- इसकी प्रमाणपत्र श्रृंखला db में मौजूद विश्वसनीय रूट प्रमाणपत्र तक सत्यापित होती है, और dbx में मौजूद नहीं है।
डिफ़ॉल्ट रूप से, अधिकांश सिस्टम db में निम्नलिखित प्रमाणपत्रों के साथ विश्वसनीयता के साथ आते हैं:
- Microsoft Corporation UEFI CA 2011 - तृतीय-पक्ष UEFI घटकों, जिनमें Linux shim शामिल है, पर हस्ताक्षर करने के लिए उपयोग किया जाता है।
- Microsoft Windows Production PCA 2011 - Windows बूटलोडर पर हस्ताक्षर करने के लिए उपयोग किया जाता है।
- एक या अधिक OEM-स्वामित्व वाले प्रमाणपत्र।
CVE-2025-3052 से जुड़े भेद्य मॉड्यूल Microsoft Corporation UEFI CA 2011 प्रमाणपत्र का उपयोग करके हस्ताक्षरित किए गए थे। चूंकि यह प्रमाणपत्र विक्रेताओं और प्लेटफ़ॉर्मों में व्यापक रूप से विश्वसनीय है, इसलिए इसका उपयोग करने वाला कोई भी हस्ताक्षरित एप्लिकेशन उपयोगकर्ता इंटरैक्शन के बिना अधिकांश UEFI सिस्टम पर निष्पादित हो सकता है। यह व्यापक विश्वास ऐसे मॉड्यूल के भीतर भेद्यता के प्रभाव को काफी बढ़ा देता है, क्योंकि यह Secure Boot की इच्छित सुरक्षा गारंटी को प्रभावी ढंग से बायपास कर देता है।
🔎 मॉड्यूल खोज और टोही
भेद्य UEFI मॉड्यूल की मूल रूप से सार्वजनिक मैलवेयर रिपॉज़िटरीज़, विशेष रूप से VirusTotal पर अपलोड किए गए UEFI बाइनरीज़ के बड़े पैमाने पर विश्लेषण के दौरान खोज की गई थी। जबकि मॉड्यूल की पहली सार्वजनिक सबमिशन नवंबर 2024 में हुई थी, इसके Authenticode हस्ताक्षर के निरीक्षण से पता चला कि इस पर अक्टूबर 2022 में ही हस्ताक्षर किए गए थे, जो दर्शाता है कि बाइनरी पता लगाए जाने से पहले काफी समय तक प्रचलन में रही हो सकती है।
विश्लेषण के दौरान देखा गया मूल फ़ाइल नाम Dtbios-efi64-71.22.efi था। एम्बेडेड स्ट्रिंग्स, प्रमाणपत्र मेटाडेटा, और फ़ाइल व्यवहार की जांच से दृढ़ता से पता चला कि मॉड्यूल DT Research, Inc द्वारा विकसित किया गया था, जो रग्ड मोबाइल कंप्यूटिंग उपकरणों में विशेषज्ञता रखने वाला विक्रेता है।
आगे की रिवर्स इंजीनियरिंग से पता चला कि मॉड्यूल एक BIOS फ्लैशिंग उपयोगिता है, जिसे डिस्क से फर्मवेयर इमेज पढ़ने और इसे सिस्टम के ROM में लिखने के लिए डिज़ाइन किया गया है। हालांकि मूल रूप से DT Research हार्डवेयर के लिए अभिप्रेत, मॉड्यूल किसी विशिष्ट प्लेटफ़ॉर्म तक सीमित नहीं है और किसी भी सिस्टम पर निष्पादित हो सकता है जो Microsoft तृतीय-पक्ष UEFI प्रमाणपत्र पर विश्वास करता है।
टोही के दौरान एक महत्वपूर्ण सुराग IhisiParamBuffer NVRAM वेरिएबल की उपस्थिति थी। यह वेरिएबल Insyde-आधारित फर्मवेयर कार्यान्वयनों से निकटता से जुड़ा हुआ है और पहले Binarly द्वारा प्रकट की गई अन्य भेद्यताओं में शामिल रहा है (जैसे, BRLY-2022-023 और BRLY-2023-005)। इसकी उपस्थिति ने तुरंत NVRAM-संबंधित समस्याओं के एक संभावित वर्ग का संकेत दिया।
💥 भेद्यता का पता लगाना और शोषण
CVE-2025-3052 का मूल कारण NVRAM वेरिएबल से पढ़े गए डेटा के सत्यापन के बिना असुरक्षित उपयोग में निहित है। विशेष रूप से:
- UEFI एप्लिकेशन IhisiParamBuffer NVRAM वेरिएबल का मान प्राप्त करता है।
- इस मान को एक विश्वसनीय पॉइंटर के रूप में माना जाता है और पते 0xf7a0 पर एक ग्लोबल वेरिएबल में संग्रहीत किया जाता है।
- कोड बाद में global + 0x18 पर एक मेमोरी राइट ऑपरेशन करता है, उस पते को शून्य पर सेट करता है।
- इसके बाद अतिरिक्त राइट ऑपरेशन होते हैं, जो सभी उसी हमलावर-नियंत्रित NVRAM मान से प्राप्त होते हैं।
- किसी भी बिंदु पर कोई बाउंड्स चेकिंग, सैनिटी सत्यापन, या एक्सेस कंट्रोल लागू नहीं किया जाता है।
परिणामस्वरूप, एक हमलावर जो IhisiParamBuffer वेरिएबल को नियंत्रित कर सकता है, यह प्रभावित करने की क्षमता प्राप्त करता है कि ये राइट्स मेमोरी में कहाँ होते हैं। जबकि राइट प्रिमिटिव कुछ हद तक सीमित है, आमतौर पर किसी मनमाने पते पर शून्य या छोटे स्थिरांक के राइट्स की अनुमति देता है, यह अभी भी महत्वपूर्ण फर्मवेयर स्थिति को दूषित करने के लिए पर्याप्त शक्तिशाली है।
Binarly के प्रूफ ऑफ कॉन्सेप्ट में, हमला ग्लोबल वेरिएबल gSecurity2 को लक्षित करता है, जो Security2 Architectural Protocol के पॉइंटर को धारण करता है (इस विशिष्ट शोषण तकनीक की विस्तृत व्याख्या के लिए, निम्नलिखित रिपॉज़िटरी देखें "TheMalwareGuardian: Exploitation Technique SecureBoot Bypass gSecurity2 Corruption")। इस प्रोटोकॉल को LoadImage सेवा द्वारा Secure Boot नीति को लागू करने के लिए परामर्श किया जाता है, जिसका अर्थ है कि gSecurity2 को नल पॉइंटर से अधिलेखित करना रनटाइम पर Secure Boot जांच को प्रभावी ढंग से अक्षम कर देता है। महत्वपूर्ण रूप से, यह बायपास ऑपरेटिंग सिस्टम के लिए पारदर्शी है: बूट होने के बाद, Secure Boot अभी भी OS स्तर पर सक्षम दिखाई देता है, भले ही इसे फर्मवेयर स्तर पर पूरी तरह से निष्क्रिय कर दिया गया हो।
एक महत्वपूर्ण बारीकी यह है कि Insyde-आधारित प्लेटफ़ॉर्मों पर, IhisiParamBuffer वेरिएबल आमतौर पर केवल-पढ़ने के लिए लॉक होता है, जो प्रभावी रूप से अतिरिक्त भेद्यता के बिना उन सिस्टमों पर शोषण को रोकता है। विडंबना यह है कि इसका मतलब है कि जिस विक्रेता के IBV ने सबसे पहले भेद्य वेरिएबल पैटर्न पेश किया, वह सबसे कम उजागर है, जबकि अन्य सभी प्लेटफ़ॉर्म जोखिम में बने हुए हैं। उन मामलों के लिए जहां वेरिएबल लॉक है, शोषण के साथ आगे बढ़ने से पहले वेरिएबल तक लिखने की पहुंच प्राप्त करने के लिए BRLY-2023-005 जैसे बायपास को श्रृंखलाबद्ध किया जा सकता है। उन सिस्टमों पर जहां वेरिएबल सीधे लिखने योग्य है, हमला सीधा और अत्यधिक विश्वसनीय है।
🎯 हमला प्रवाह
निम्नलिखित CVE-2025-3052 का लाभ उठाते हुए एंड-टू-एंड हमले का वर्णन करता है, यह मानते हुए कि हमलावर के पास OS-स्तरीय पहुंच वाला विशेषाधिकार प्राप्त हमलावर है:
- NVRAM वेरिएबल सेट करें: हमलावर ऑपरेटिंग सिस्टम से IhisiParamBuffer NVRAM वेरिएबल को एक मनमाने लक्ष्य पते पर सेट करता है, इसे gSecurity2 की ओर इंगित करता है।
- पेलोड रजिस्टर करें: हमलावर भेद्य हस्ताक्षरित मॉड्यूल को UEFI Boot Manager में रजिस्टर करता है (या इसके साथ मौजूदा OS लोडर को बदल देता है), और इसके अतिरिक्त वास्तविक पेलोड वाला एक दूसरा अहस्ताक्षरित मॉड्यूल रजिस्टर करता है।
- रीबूट: सिस्टम रीबूट होने के बाद, फर्मवेयर Boot Device Selection (BDS) चरण में प्रवेश करता है और पंजीकृत बूट प्रविष्टियों को निष्पादित करना शुरू करता है।
- निष्पादन: भेद्य हस्ताक्षरित मॉड्यूल पहले चलता है। इसके सीमित राइट प्रिमिटिव का उपयोग gSecurity2 को नल से अधिलेखित करने के लिए किया जाता है, जिससे Secure Boot प्रवर्तन अक्षम हो जाता है। जांच निष्क्रिय होने के साथ, फर्मवेयर अहस्ताक्षरित पेलोड मॉड्यूल को लोड और निष्पादित करने के लिए आगे बढ़ता है, जो हमलावर को DXE चरण के अंत में मनमाना कोड निष्पादन प्रदान करता है, इससे पहले कि ऑपरेटिंग सिस्टम को अपनी रक्षा स्थापित करने का कोई अवसर मिले।
📦 प्रभावित मॉड्यूल
Microsoft ने निर्धारित किया कि 14 विभिन्न UEFI मॉड्यूल प्रभावित थे और Secure Boot dbx में उनके हैश जोड़कर इस समस्या को कम किया।
| मॉड्यूल नाम | Authenticode SHA-256 हैश |
|---|---|
| BiosFlashShell-efi64-80.02.efi | C54A4060B3A76FA045B7B60EEAEBC8389780376BA3EF1F63D417BA1B5528E95 |
| BiosFlashShell-efi64-81.02.efi | CBFAA286144EB2D165A6B17245BAD4F73058436C7292BE56DC6EBA29A369ADDF |
| Dtbios-efi64-70.17.efi | 9D7E7174C281C6526B44C632BAA8C3320ADDD0C77DC90778CC14893882D74618 |
| Dtbios-efi64-70.18.efi | 9B1F35052CFC5FB06DABE5E8F7B747F081DA28D722DB59ADE253B9E38A7A3C76 |
| Dtbios-efi64-70.19.efi | E3CE55E584371D3F2FBCA2241EF0711FF80876EBF71BAB07D8ECEE645A40DCFC |
| Dtbios-efi64-70.20.efi | EE093913ABBD34CB8B5EA31375179A8B55A298353C03AFE5055AA4E8E3F705EF |
| Dtbios-efi64-70.21.efi | B4E1880425F7857B741B921D04FD9276130927CF90A427C454B970E7A2F442F9 |
| Dtbios-efi64-70.22.efi | CDA0B4A59390B36E1B654850428CBB5B4C7B5E4349E87ACDE97FB543736FF1D4 |
| Dtbios-efi64-71.17.efi | C87EFD057497F90321D62A69B311912B8EF8A045FE9C5E6BD5C8C1A4E6F39629 |
| Dtbios-efi64-71.18.efi | 9E19DD645235341A555D6AC0665591453AE13918ECD37DF22DFBEE91EAA9A2DA |
| Dtbios-efi64-71.19.efi | 63F67824FDA998798964FF33B87441857DA92F3A8EE3E04166EEC3156E4E6B82 |
| Dtbios-efi64-71.20.efi | 0BC4F078388D41AB039F87AE84CF8D39302CCBDD70C4ADEE02263EBF6A2DD328 |
| Dtbios-efi64-71.21.efi | E2AEC271B9596A461EB6D54DB81785E4E4C615CFDA5F4504BCC0A329248A4D36 |
| Dtbios-efi64-71.22.efi | 6B4328EBCBE46ED9118FF2D4472DE329D70BA83016DF7A6F50F8AF92342160A1 |
🤝 शोध और सहयोग
कुछ इसी तरह का काम कर रहे हैं? UEFI, Kernel सुरक्षा, शोषण, या किसी अन्य रोचक सुरक्षा विषय पर शोध कर रहे हैं? यदि आपको एक्सप्लॉइट विकसित करने, किसी तकनीक का पता लगाने, या बस विचारों का आदान-प्रदान करने में मदद की आवश्यकता है, तो संपर्क करने में संकोच न करें। मैं हमेशा शोध पर चर्चा करने, जहां मदद कर सकता हूं वहां सहायता करने, और रोचक परियोजनाओं पर सहयोग करने के लिए तैयार हूं। बेझिझक मुझसे LinkedIn पर संपर्क करें।