Secure Boot אמור להבטיח שמחשב יעלה רק עם קוד שנחתם על ידי גורם מוכר. הרשומה מתארת רכיב ב-IGEL OS בשם igel-flash-driver שמאמת את החתימה באופן לקוי, ובעקבות זאת אפשר לטעון מערכת קבצים שורשית מתוך תמונת SquashFS שלא עברה אימות. הציון הוא 4.6 מתוך 10, נמוך יחסית, והסיבה נמצאת בווקטור: נדרשת גישה פיזית למכשיר.

מה החולשה?

הרעיון מאחורי Secure Boot הוא שרשרת של אמון. כל שלב בעליית המחשב בודק את חתימת השלב הבא לפני שהוא מעביר לו שליטה, וכך אף קוד לא חתום אינו רץ לפני שמערכת ההפעלה עלתה. שרשרת כזאת חזקה כמו החוליה שבודקת הכי פחות טוב.

כאן החוליה הזאת היא igel-flash-driver. הרשומה כותבת שהוא מאמת חתימה קריפטוגרפית באופן לא תקין, ושבסופו של דבר אפשר לטעון דרכו מערכת קבצים שורשית שהתוקף הכין. מערכת קבצים שורשית היא כל מה שמערכת ההפעלה רואה כדיסק שלה, ולכן מי ששולט בה שולט במה שירוץ.

הנקודה המעניינת אינה IGEL לבדה. רכיב שנושא חתימה ש-Secure Boot מכבד הוא רכיב שמכונות אחרות עשויות לקבל גם הן, ולכן הרשומה מונה לצד IGEL OS גם רשימה ארוכה של גרסאות ווינדוס ובניות מדויקות שלהן, ומפנה לעדכון של מיקרוסופט. הטיפול אינו מסתכם בעדכון של מוצר אחד.

מי מושפע?

מצד IGEL, מדובר בגרסאות IGEL OS שקודמות ל-11.01.100. זו מערכת הפעלה קלה למחשבים דקים, אותם מסופים שמתחברים לשולחן עבודה מרוחק ואינם מחזיקים בעצמם כמעט כלום.

מצד ווינדוס, הרשומה מונה בניות מדויקות של ווינדוס 10 בגרסאות 1507, 1607, 1809, 21H2 ו-22H2, של ווינדוס 11 בגרסאות 22H2, 23H2 ו-24H2, וכן Windows Server 2012 R2. כאן עדיף לעבוד מול העדכון של מיקרוסופט ולא מול רשימה, כי ההשוואה היא ברמת מספר הבנייה ולא ברמת שם הגרסה.

תנאי אחד מרכך את התמונה, ואין סיבה להסתיר אותו: הווקטור דורש גישה פיזית. זו אינה חולשה שמישהו מפעיל מהאינטרנט. היא רלוונטית למכשירים שאנשים אחרים יכולים לגעת בהם, ובמחשבים דקים שיושבים בעמדות פתוחות זה בדיוק המצב.

האם מנוצלת בפועל?

כן. הרשומה פורסמה ב-NVD ב-5 ביוני 2025, וב-14 באוקטובר 2025 היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 4 בנובמבר 2025.

מה עושים?

עדכנו את IGEL OS לגרסה 11.01.100 או מאוחרת ממנה.

במקביל, החילו את עדכוני מיקרוסופט לפי דף החולשה ב-MSRC. זה החלק שקל לפספס: הרשימה כוללת גרסאות ווינדוס בלי קשר לשאלה אם יש בארגון מכשיר IGEL, ולכן העדכון של ווינדוס הוא חלק מהתיקון ולא תוספת לו.

מכיוון שהניצול דורש גישה פיזית, עברו על המכשירים שיושבים במקומות פתוחים לציבור. מסוף בעמדת קבלה או בחלל משותף הוא בדיוק המקרה שבו התנאי הזה מתקיים, ושם גם שווה לבדוק מי יכול להגיע לחיבורי ה-USB.