Използвате ли Grub2? трябва да актуализирате сега, тъй като те откриха около 8 уязвимости

Ако използвате Grub2 като вашия буутлоудър на вашия компютър нека ви кажа, че трябва да го актуализирате сегаа наскоро Разкрити са 8 уязвимости в този GRUB2 буутлоудър от които един от тях е отбелязан като критичен.

Най-опасни от тях е този, който се каталогизира с кодовото име BootHole (CVE-2020 до 10713). Тази уязвимост е открита дава възможност да се заобиколи механизмът за безопасно зареждане на UEFI и да се инсталира злонамерен софтуер без проверка.

Особеността на тази уязвимост е, че За да го поправите, не е достатъчно да актуализирате GRUB2, тъй като нападателят може да използва стартиращ носител с уязвима версия предишен заверено с цифров подпис. Нападателят може да компрометира процеса на проверка не само за Linux, но и за други операционни системи, включително Windows.

И проблемът е в това повечето дистрибуции на Linux използват малък слой от подложка за проверено зареждане, който е подписан дигитално от Microsoft.

Този слой проверява GRUB2 със собствен сертификат, позволявайки на разработчиците на дистрибуция да не сертифицират всяко ядро ​​на GRUB и да актуализират до Microsoft.

Уязвимостта позволява при промяна на съдържанието на grub.cfg, постигнете изпълнението на вашия код на етапа след успешната проверка на shim, но преди операционната система да се зареди, вписване във веригата на доверие, когато Secure Boot е активен и придобива контрол Общо за допълнителния процес на зареждане, включително зареждане на друга операционна система, модифициране на компонентите на операционната система и заобикаляне на защитата при срив.

Уязвимостта е причинена от препълване на буфер които могат да бъдат използвани за изпълнение на произволен код по време на процеса на изтегляне. Уязвимостта се проявява при анализ на съдържанието на конфигурационния файл grub.cfg, който обикновено се намира на ESP (EFI System Partition) дял и може да бъде редактиран от нападател с администраторски права, без да се нарушава целостта на подписаните подложки за изпълнение и GRUB2 изпълними файлове.

По погрешка в кода на анализатора на конфигурацията, манипулаторът на грешки при фатален анализ YY_FATAL_ERROR показа само предупреждение, но не прекрати програмата. Опасността от уязвимост се намалява от необходимостта от привилегирован достъп до системата; проблемът обаче може да е необходим за внедряването на скрити руткитове при наличие на физически достъп до машината (ако е възможно да се стартира от нейния носител).

От другите открити уязвимости:

• CVE-2020-14308: Препълване на буфера поради размера на разпределената област на паметта, която не е проверена в grub_malloc.
• CVE-2020-14309: целочислено препълване в grub_squash_read_symlink, което може да доведе до записване на данни извън разпределения буфер.
• CVE-2020-14310: целочислено препълване в read_section_from_string, което може да доведе до записване на данни извън разпределения буфер.
• CVE-2020-14311: препълване на цяло число в grub_ext2_read_link, което може да доведе до записване на данни извън разпределения буфер.
• CVE-2020-15705: позволява директно зареждане на неподписани ядра в режим на сигурно зареждане без преплетен междинен слой.
• CVE-2020 15706-: достъп до област на паметта, вече освободена (след употреба безплатно) при прекъсване на функция по време на изпълнение.
• CVE-2020-15707: препълване на цяло число в манипулатора на размера на initrd.

решения

Въпреки че всичко не е загубено, тъй като, за да разрешите този проблем, трябва да се направи само актуализация на списъка с отнети сертификати (dbx, UEFI Revocation List) в системата, но в този случай възможността за използване на стария инсталационен носител с Linux ще бъде загубена.

Някои производители на хардуер вече са включили актуализиран списък на отменените сертификати във вашия фърмуер; На такива системи, в режим UEFI Secure Boot, могат да се зареждат само актуални компилации на Linux дистрибуции.

За да коригирате уязвимостта в дистрибуциите, инсталатори, буутлоудъри, пакети на ядрото, fwupd фърмуер и слой за съвместимост също ще трябва да бъдат актуализирани, генериране на нови цифрови подписи за тях.

Потребителите ще трябва да актуализират инсталационни изображения и други носители за зарежданеи изтеглете списъка за отмяна на сертификати (dbx) във фърмуера на UEFI. До актуализацията на dbx в UEFI системата остава уязвима, независимо от инсталирането на актуализации в операционната система.

Накрая се съобщава, че пуснати са актуализации на пакета за корекции за Debian, Ubuntu, RHEL и SUSE, както и за GRUB2 са пуснати набор от кръпки.