🔺 권한 상승 (파트 2 - DXE 볼륨 탈취)

파트 1에서 달성한 Secure Boot 우회는 훨씬 더 큰 영향을 미치는 두 번째 단계, 즉 Insyde 펌웨어 업데이트 프로세스 자체를 하이재킹하여 DXE 볼륨을 완전히 탈취하는 길을 열어줍니다.

Insyde H2O의 펌웨어 업데이트 하위 시스템은 다음과 같이 작동합니다: OS 업데이터가 펌웨어 캡슐과 서명된 업데이터 애플리케이션(isflash.bin)을 EFI 시스템 파티션에 배치한 다음, SecureFlashInfo NVRAM 변수 내에 SecureFlashTrigger=1 플래그를 설정합니다. 다음 부팅 시 펌웨어는 트리거를 감지하고, PEI 중에 플래시 쓰기 보호를 비활성화하며, 결국 Insyde 인증서에 대해 검증한 후 isflash.bin에 대해 LoadImage를 호출합니다. 이는 CVE-2025-4275가 공격자로 하여금 교체할 수 있게 하는 바로 그 인증서 메커니즘입니다.

Secure Boot 우회에서 DXE 탈취로 권한 상승하기 위해서는 세 가지 추가 기술적 단계가 필요합니다:

• SecureFlashCertData 삭제 우회 : SecureFlashDxe는 LoadImage를 호출하기 전에 인증서 변수를 삭제하려 시도하며, Insyde AW(Authenticated Write) 특수 변수를 제거할 수 없는 naked SetVariable 호출을 사용합니다. 공격자는 이 삭제 시도를 견디기 위해 인증서를 AW 속성이 부여된 특수 변수로 다시 설정합니다.
• InsydeVariableLock 잠금 해제: VariableRuntimeDxe는 BDS 시작 후 AW 변수 생성을 방지하는 전역 플래그(InsydeVariableLock)를 설정합니다. DriverXXXX를 통해 UEFI 드라이버를 등록하면(이 잠금이 걸리기 전에 실행됨) 공격자는 BdsArchProtocol->Entry 후크 체인을 파싱하여 메모리에서 플래그를 찾아 1에서 0으로 뒤집습니다.
• SecureFlashInfo 설정: SecureFlashInfo 변수는 일반적으로 VariableLockProtocol에 의해 보호되지만, 이 잠금은 ReadyToBoot에서만 걸립니다. DriverXXXX를 통해 등록된 드라이버는 이 이벤트 전에 실행되어 펌웨어 업데이트 흐름을 시작하기 위해 SecureFlashTrigger=1을 자유롭게 설정할 수 있습니다.

세 가지 조건이 모두 충족되면 펌웨어는 업데이트 모드로 재부팅하고, 공격자의 사용자 지정 isflash.bin(공격자의 인증서로 서명되었으며, 이제 섀도잉된 SecureFlashCertData로 인해 신뢰됨)을 로드하며, SPI 플래시가 보호되지 않은 상태에서 이를 실행합니다. 이 위치에서 공격자는 DXE 볼륨에 임의의 내용을 쓸 수 있으며, OS 재설치와 대부분의 보안 제어를 견디는 방식으로 지속적 드라이버를 설치하거나 펌웨어 구성 요소를 수정할 수 있습니다.