themalwareguardian/cve-2026-79298Howyar SysReturnのIA-32ブートパスにおける不完全なUEFI Secure Bootバイパス修正であるCVE-2026-79298を文書化したリサーチリポジトリ。リバースエンジニアリングとPoC資料を含む。
脆弱性は修正された。バイナリは失効させられた。しかし、修正されたのはアーキテクチャの半分だけであった。18か月後、IA-32 ブートパスは依然として同じカスタム PE ローダーを搭載し、同じ Secure Boot 検証をバイパスし、同じ失効済み Authenticode ハッシュを保持していた。そして2026年7月まで、SysReturn NetCopy のすべてのコピーに商用として出荷され続けていた。これが CVE-2026-79298 である。
私は UEFI ファームウェアのエクスプロイト、ブートキット/ルートキット開発、および脆弱性研究を専門とするオフェンシブセキュリティ研究者である。これは私がキャリアを捧げることを選んだ分野であり、私が公開するすべてのものを形作っている。
私は UEFI Bootkits and Kernel-Mode Rootkits Development の共著者である。これはオフェンシブなファームウェアレベルのインプラント開発に関する先駆的な書籍である。私は完全な Windows UEFI ブートキットである Abyss と、Linux 向けに初めて公開された UEFI ブートキットフレームワークである Antarctic を構築し、公開した。どちらもレッドチームオペレーターとセキュリティ研究者が現実世界のファームウェア脅威を理解し、シミュレートし、防御するために設計されたオープンソースツールである。これらに加えて、私は Windows カーネルモードルートキットである Benthic と、UEFI バイナリの自動解析ツールである Behemoth を開発した。
このレベルでオフェンシブツールを構築するということは、ブートキットがどのように動作するかを理解するだけでなく、それらがどのようにインストールされるかを理解することを意味する。そこが UEFI 脆弱性の出番である。すべての Secure Boot バイパス、すべての不適切に署名されたブートローダー、検証をスキップするすべてのカスタム PE ローダー - これらはファームウェアレベルのマルウェアが通り抜ける扉である。それらの脆弱性を研究し、エクスプロイトすることは、この作業の自然な延長である。実際の攻撃対象領域を理解せずに、現実的なオフェンシブツールを構築することはできない。
その研究の道筋 - UEFI マルウェアを開発し、次にその配備を可能にする脆弱性を研究する - が、私を CVE-2024-7344 へ、そして最終的にここに記録された発見へと導いた。
2025年1月、Martin Smolár と ESET Research Team は CVE-2024-7344 (Under the cloak of UEFI Secure Boot) の開示を公開した。これは Howyar SysReturn を含む複数のリカバリソフトウェア製品に影響を与える Secure Boot バイパスである。この脆弱性は、独自のカスタム PE ローダー (RxPE) を実装した Microsoft 署名済み UEFI アプリケーションによって引き起こされ、標準の LoadImage および StartImage サービスを完全にバイパスしていた。ファームウェア内蔵の Secure Boot 検証に依存する代わりに、このアプリケーションは cloak.dat というファイルから未署名のペイロードを手動で解析して実行していた。単一バイト鍵で XOR 暗号化され、署名チェックはなく、完全なファームウェアレベルの信頼があった。
Microsoft は2025年1月の Patch Tuesday アップデートで影響を受けるバイナリを失効させた。アドバイザリは公開された。セキュリティコミュニティは次へ進んだ。しかし私はそうしなかった。
私は何年もかけて UEFI 脆弱性を研究してきた - CVE-2024-7344 だけでなく、Secure Boot バイパス、カスタム PE ローダー、署名済み UEFI コンポーネントにおける設計レベルの欠陥という全体的な状況を。そして、何度も何度も目にしてきたパターンがある。同じカテゴリの誤った設計判断が、ベンダーをまたぎ、年をまたいで再浮上するのだ。脆弱性が開示され、バイナリが失効させられ、数か月または数年後に同様の欠陥が現れる - 時には同じ製品に、時には同じベンダーの別の製品に、時には同じアーキテクチャ上の前提を共有するまったく別のベンダーのコードベースに。
そのパターンが私に、セキュリティ業界が十分に問いかけていないと私が考えるある疑問を抱かせた:
CVE の後、製品はどのような姿になるのか? パッチ対応に追われる最中ではなく、18か月後、誰も見ていない時に。
私はそれを確かめることにした。そして選んだ製品が Howyar SysReturn だった。
私は Howyar Technologies に直接連絡を取り、専門的な調達評価のために SysReturn の評価版を入手した - 大規模な教育機関への導入に向けたリカバリソフトウェアの評価という実務から生じた正当な文脈である。
2026年4月にリリースされた SysReturn v11.2.031 で私が見つけたものは、Microsoft の失効から15か月以上が経過していたにもかかわらず、まさにそのパターンが示唆していたことを裏付けていた。
x64 ブートパスは対処されていた。しかし IA-32 ブートパスは決して修復されていなかった。SysReturn NetCopy 機能の一部として配布されていたバイナリ BOOTia32.efi は、依然として同じカスタム PE ローダー (RxPE) を含み、同じ ALRM 形式と単一バイト XOR 暗号化を用いて cloak32.dat というファイルから未署名のペイロードをロードし、Microsoft が2025年1月に失効させたものとまったく同じ Authenticode ハッシュを依然として保持していた。
根本原因は IA-32 アーキテクチャでは決して修正されなかった。変わったのは運用上の点であった - x64 パスは更新され、開示による当面の圧力には対処された - しかし、基盤となるアーキテクチャは32ビットコンポーネントにそのまま残り、製品のすべてのコピーに商用として出荷され続けていた。
| 項目 | 詳細 |
|---|
| CVE ID | CVE-2026-79298 |
| 脆弱性の種類 | UEFI Secure Boot バイパスの不完全な修復 (CWE-693: 保護メカニズムの不具合) |
| ベンダー | Howyar Technologies Inc. |
| 製品 | SysReturn (NetCopy 機能) |
| 影響を受けるバージョン | 11.3.034 より前のバージョン (v11.2.031 および v11.3.033 で確認) |
| 修正バージョン | v11.3.034 (2026年7月) |
| 影響を受けるコンポーネント | BOOTia32.efi (Microsoft 署名済み IA-32 UEFI アプリケーション)、RxPE カスタム PE ローダー (UEFI\RxPE.cpp)、cloak32.dat (ALRM 形式の XOR 暗号化ペイロード) |
| 攻撃の種類 | ローカル |
| 影響 | 任意のコード実行、権限昇格 |
| 攻撃ベクター | EFI システムパーティションへの書き込みアクセス権を持つ攻撃者 (Windows のローカル Administrator、Linux の root) は、BOOTia32.efi と細工された cloak32.dat を ESP に配置できる。再起動時に、バイナリは RxPE を介して未署名のペイロードを実行し、Secure Boot 検証を完全にバイパスする。Microsoft Corporation UEFI CA 2011 を信頼し、2025年1月の dbx 失効更新を適用していない、Secure Boot が有効な IA-32 UEFI システムが必要である。 |
| ベンダーの確認 | 確認済み。ベンダーは協調的開示の過程で、IA-32 ブートパスが元の CVE-2024-7344 の修復に含まれていなかったことを認めた。 |
この脆弱性の協調的開示プロセスは、Howyar Technologies と直接、約2か月間にわたって実施された。
タイムラインの概要:
Secure Boot バイパスは、Secure Boot を有効にした QEMU/OVMF IA-32 を使用して動的に再現された。完全な再現アーティファクト、リバースエンジニアリングの文書、Authenticode ハッシュ検証、概念実証の資料、および調整プロセス中に交換されたすべてのメールは、主要な研究リポジトリに含まれている。
この CVE 識別子は、研究がすでに実施され、文書化され、2つの専用リポジトリを通じて共有された後に割り当てられた。それらのリポジトリには完全な技術的深みが含まれている - 脆弱なバイナリ、リバースエンジニアリング、ベンダーとのやり取り、概念実証ツール、および再現資料である。このリポジトリは、すべてを結びつける CVE インデックス付きのエントリポイントとして機能する。
➡️ UEFI-Security-Research-Howyar-SysReturn-NetCopy
これは主要な研究リポジトリである。以下を含む:
BOOTia32.efi、cloak32.dat、および関連コンポーネント)BOOTia32.efi の完全なリバースエンジニアリング: ALRM ペイロード形式、XOR 復号、RxPE カスタム PE ローダー、失効したバイナリに対する Authenticode ハッシュ検証、および何が変更され、何が手つかずのまま残されたかの分析decode_cloak.py、authenticode_hash.py、create_cloak.py)これは、CVE-2026-79298 の根源となった元の脆弱性を文書化したコンパニオンリポジトリである。以下を含む:
似たようなことに取り組んでいる? UEFI、カーネルセキュリティ、エクスプロイト、または別の興味深いセキュリティトピックを研究している? エクスプロイトの開発、技術の探求、あるいは単にアイデアを交換したいだけでも、手助けが必要なら遠慮なく連絡してほしい。私は研究について議論し、できる範囲で手助けし、興味深いプロジェクトで協力することに常に前向きである。
LinkedIn で気軽に連絡してほしい。