UEFI 安全启动遭突破，高危漏洞 CVE-2025-3052 威胁数百万PC

漏洞概况

网络安全研究机构BINARLY发现了一个影响UEFI安全启动机制的安全高危漏洞（CVE-2025-3052），该漏洞CVSS评分为8.2分。启动该漏洞源于一个经微软第三方UEFI证书签名的遭突易受攻击UEFI应用程序，该证书使其在大量设备上获得受信任状态。破高

技术细节

该可被恶意利用的危漏威胁万组件名为Dtbios-efi64-71.22.efi ，由微软UEFI CA 2011密钥签名 。数百漏洞存在于应用程序对名为"IhisiParamBuffer"的模板下载安全NVRAM变量的错误处理中——该模块会盲目执行来自该缓冲区的多次内存写入。

BINARLY在报告中解释："攻击者可以在IhisiParamBuffer NVRAM变量中存储任意内存地址 ，启动当模块运行时，遭突将执行攻击者控制的破高写入操作。"

攻击原理

在研究人员的危漏威胁万概念验证中，亿华云展示了具有操作系统级权限的数百本地攻击者如何覆写指向gSecurity2结构的指针——这是执行安全启动检查的关键组件。通过在启动序列中将此指针清零，安全攻击者可以完全禁用安全启动，启动从而执行未签名的遭突UEFI模块（如bootkit或早期阶段恶意软件） 。香港云服务器

BINARLY表示："这个PoC展示了攻击者如何绕过安全启动，在无需用户交互或物理接触设备的情况下加载不受信任的代码。"

影响范围

该签名UEFI二进制文件已在VirusTotal上被发现
，由于微软的签名而被广泛信任。BINARLY指出
，任何信任微软UEFI CA 2011证书的建站模板系统都可能受到影响——这包括绝大多数启用了安全启动的现代Windows和Linux机器 。

不过 
，利用成功率可能因硬件实现而异。例如，使用Insyde BIOS的设备可能会限制NVRAM变量操作，从而略微减少攻击面——除非与第二个漏洞结合使用。

缓解措施

BINARLY建议采取以下措施：

通过将其Authenticode哈希添加到UEFI撤销列表（dbx数据库）来撤销易受攻击的云计算EFI二进制文件从应用程序中移除易受攻击的代码
，防止用户控制的NVRAM变量执行任意写入审查固件中的NVRAM保护措施，特别是影响引导加载程序行为的变量