事件背景
5月7日，科技媒體borncity披露知名裝機(jī)工具iVentoy 1.0.2版本存在重大安全隱患。該工具系開(kāi)源項(xiàng)目Ventoy（全球裝機(jī)量超500萬(wàn)次的USB啟動(dòng)盤(pán)制作工具）開(kāi)發(fā)者于2024年6月推出的網(wǎng)絡(luò)裝機(jī)系統(tǒng)，采用PXE協(xié)議實(shí)現(xiàn)多設(shè)備并發(fā)安裝操作系統(tǒng)，支持Windows/Linux/VMware等110余種系統(tǒng)鏡像。
漏洞詳情
據(jù)Reddit技術(shù)社區(qū)與GitHub開(kāi)發(fā)者論壇反饋，該版本在Windows部署過(guò)程中存在兩個(gè)關(guān)鍵風(fēng)險(xiǎn)：
- 內(nèi)核驅(qū)動(dòng)程序隱患：強(qiáng)制安裝未經(jīng)嚴(yán)格驗(yàn)證的httpdisk驅(qū)動(dòng)，該開(kāi)源組件用于網(wǎng)絡(luò)掛載ISO鏡像。Windows Defender檢測(cè)到其存在內(nèi)存駐留風(fēng)險(xiǎn)
- 證書(shū)信任危機(jī)：植入名為”JemmyLoveJenny EV Root CA0″的自簽名證書(shū)，VirusTotal反病毒平臺(tái)標(biāo)記該證書(shū)關(guān)聯(lián)文件為惡意程序
安全警示
思科Talos安全團(tuán)隊(duì)曾在2023年安全報(bào)告中警告，此類(lèi)證書(shū)可被用于偽造驅(qū)動(dòng)簽名時(shí)間戳，進(jìn)而突破Windows硬件兼容性策略（WHQL），實(shí)現(xiàn)驅(qū)動(dòng)白名單繞過(guò)。微軟安全響應(yīng)中心數(shù)據(jù)顯示，約17%的供應(yīng)鏈攻擊通過(guò)類(lèi)似手法實(shí)施。
開(kāi)發(fā)者響應(yīng)
項(xiàng)目負(fù)責(zé)人Hailong Sun（GitHub ID: longpanda）在漏洞曝光6小時(shí)內(nèi)作出技術(shù)說(shuō)明：
- 驅(qū)動(dòng)必要性：httpdisk組件是實(shí)現(xiàn)網(wǎng)絡(luò)掛載的核心模塊，因微軟收緊驅(qū)動(dòng)簽名策略，被迫啟用測(cè)試模式繞過(guò)驗(yàn)證
- 風(fēng)險(xiǎn)管控：?jiǎn)栴}驅(qū)動(dòng)僅在WinPE環(huán)境內(nèi)存駐留，不會(huì)寫(xiě)入用戶硬盤(pán)
- 緊急修復(fù)：1.0.21版本已移除問(wèn)題證書(shū)，并重構(gòu)驅(qū)動(dòng)加載邏輯
行業(yè)觀察
值得關(guān)注的是，iVentoy作為Ventoy生態(tài)的延伸產(chǎn)品，上線初期即獲得超過(guò)2萬(wàn)次企業(yè)部署。此次事件再次引發(fā)業(yè)界對(duì)裝機(jī)工具供應(yīng)鏈安全的討論。目前微軟尚未將相關(guān)證書(shū)加入吊銷(xiāo)列表，建議已使用1.0.2版本的用戶立即升級(jí)，企業(yè)用戶可暫時(shí)啟用組策略禁止未簽名驅(qū)動(dòng)加載。
