Microsoft, GRUB2, U-Boot, Barebox Bootloaders’da kusurları bulmak için AI kullanıyor

Microsoft, GRUB2, U-Boot ve Barebox açık kaynaklı önyükleyicilerde daha önce bilinmeyen 20 güvenlik açıklarını keşfetmek için AI destekli güvenlik kopyasını kullandı.

Grub2 (Grand Unified Bootloader) Ubuntu da dahil olmak üzere çoğu Linux dağıtımının varsayılan önyükleme yükleyicisidir, U-Boot ve Barebox, gömülü ve IoT cihazlarında yaygın olarak kullanılır.

Microsoft, GRUB2’de dosya sistemi ayrıştırıcılarında tamsayı ve arabellek taşmaları, komut kusurları ve şifreli karşılaştırmada bir yan kanal dahil on bir güvenlik açıkını keşfetti.

Ek olarak, Squashfs, Ext4, CRAMFS, JFFS2 ve Symlinks, Sustam için fiziksel erişim gerektiren U-Boot ve Barebox’ta ayrıştırma işleminde 9 tampon taşması keşfedildi.

Yeni keşfedilen kusurlar, UEFI Secure Boot’a dayanan etki cihazları ve doğru koşullar karşılanırsa, saldırganlar cihazda keyfi kod yürütmek için güvenlik korumalarını atlayabilirler.

Bu kusurlardan yararlanmak muhtemelen cihazlara yerel erişim gerektirse de, Blacklotus gibi önceki bootkit saldırıları bunu kötü amaçlı yazılım enfeksiyonları yoluyla başardı.

Microsoft, “Tehdit aktörleri muhtemelen U-boot veya Barebox güvenlik açıklarından yararlanmak için fiziksel cihaz erişimini gerektirse de, Grub2 durumunda, güvenlik açıkları güvenli bagajı atlamak ve gizli bootkitleri kurmak veya potansiyel olarak Bitlocker gibi diğer güvenlik mekanizmalarını atlamak için kullanılabilir.”

Diyerek şöyle devam etti: “Bu tür bootkitleri yüklemenin sonuçları önemlidir, çünkü bu, tehdit aktörlerine cihaz üzerinde tam kontrol sağlayabilir, önyükleme işlemini ve işletim sistemini kontrol etmelerini, ağdaki ek cihazlardan ödün vermelerine ve diğer kötü amaçlı faaliyetleri takip etmelerini sağlayabilir.”

“Ayrıca, bir işletim sistemi yeniden yüklemesinden veya sabit sürücü değiştirmesinden sonra bile sağlam kalan kalıcı kötü amaçlı yazılımlarla sonuçlanabilir.”

Aşağıda Grub2’de ortaya çıkarılan Microsoft kusurlarının bir özeti:

• CVE-2024-56737 -Null sonlandırılmamış bir dize üzerinde güvenli olmayan strcpy nedeniyle HFS dosya sistemi montajında ​​arabellek taşması
• CVE-2024-56738 -Kriptografik Karşılaştırma Fonksiyonunda Yan Kanal Saldırısı (Grub_Crypto_Memcmp Sabit Zaman Değil)
• CVE-2025-0677 – UFS sembolik bağlantı işlemesinde tamsayı taşma arabelleği taşmasına yol açar
• CVE-2025-0678 – Squash4 dosya okumasında tamsayı taşma arabellek taşmasına yol açar
• CVE-2025-0684 – Reiserfs Sembolik Bağlantı İşlemesinde Tamsayı Taşması Arabellek Taşması’na yol açar
• CVE-2025-0685 – JFS sembolik bağlantı işlemesinde tamsayı taşma arabelleği taşmasına yol açar
• CVE-2025-0686 – ROMFS Sembolik Bağlantı İşlemesinde Tamsayı Taşması Arabellek Taşması’na yol açar
• CVE-2025-0689 -UDF blok işlemesinde okunan sınırlar
• CVE-2025-0690 -İmzalı Tamsayı Taşması ve Bounds Dışı Okuma Komutunda Yaz (Klavye Giriş İşleyicisi)
• CVE-2025-1118 – Dökme komutu keyfi bellek okumasına izin verir (üretimde devre dışı bırakılmalıdır)
• CVE-2025-1125 – HFS Sıkıştırılmış Dosyada Tamsayı Taşması Açık Etkin Nedenleri Tampon Taşma

Yukarıdaki kusurların tümü, “yüksek” olarak derecelendirilen CVE-2025-0678 hariç orta şiddet olarak derecelendirilmiştir (CVSS v3.1 skoru: 7.8).

Microsoft, Güvenlik Copilot’un güvenlik açığı keşif sürecini Grub2 gibi büyük ve karmaşık bir kod tabanında önemli ölçüde hızlandırdığını ve manuel analiz için gerekli olacak yaklaşık 1 haftalık süreyi tasarruf ettiğini söyledi.

AI aracı sadece daha önce keşfedilmemiş kusurları tanımlamakla kalmadı, aynı zamanda özellikle gönüllü katkıda bulunanlar ve küçük çekirdek ekipler tarafından desteklenen açık kaynaklı projelerde, işaretçiler sağlayabilecek ve güvenlik yamalarının verilmesini hızlandırabilecek hedefli hafifletme önerileri de sağladı.

Analizdeki bulguları kullanarak Microsoft, Güvenlik Copilot’un Grub2 ile paylaşılan kodu kullanan projelerde U-Boot ve Barebox gibi benzer hatalar bulduğunu söyledi.

Grub2, U-Boot ve Barebox, Şubat 2025’te güvenlik açıkları için güvenlik güncellemeleri yayınladı, bu nedenle en son sürümlere güncelleme kusurları hafifletmelidir.