Používáte Grub2? měli byste aktualizovat hned, protože našli asi 8 chyb zabezpečení

Pokud používáte Grub2 jako bootloader v počítači řeknu vám, že byste to měli aktualizovat hneddobře nedávno Bylo odhaleno 8 chyb zabezpečení v tomto zavaděči GRUB2 z nichž jeden je označen jako kritický.

Nejnebezpečnější z nich je ta, která je katalogizována s kódovým názvem Zaváděcí díra (CVE-2020 až 10713). Tato chyba zabezpečení byla zjištěna umožňuje obejít zaváděcí mechanismus UEFI Secure a instalovat škodlivý software bez ověření.

Zvláštností této zranitelnosti je, že Chcete-li to opravit, nestačí aktualizovat GRUB2, protože útočník může použít zaváděcí médium se zranitelnou verzí předchozí ověřeno digitálním podpisem. Útočník může narušit proces ověřování nejen pro Linux, ale také pro ostatní operační systémy, včetně Windows.

A problém je v tom většina linuxových distribucí používá malá vrstva podložka pro ověřené spuštění, který je digitálně podepsán společností Microsoft.

Tato vrstva ověřuje GRUB2 s vlastním certifikátem, což umožňuje vývojářům distribuce necertifikovat každé jádro GRUBu a aktualizovat na Microsoft.

Chyba zabezpečení umožňuje při změně obsahu souboru grub.cfg, dosáhnout provedení kódu ve fázi po úspěšném ověření shim, ale před načtením operačního systému, zapadnutí do řetězce důvěry, když je Secure Boot aktivní a získává kontrolu Celkově o dalším spouštěcím procesu, včetně zavedení jiného operačního systému, úpravy součástí operačního systému a obejití ochrany před selháním.

Tato chyba zabezpečení je způsobena přetečením vyrovnávací paměti které lze využít ke spuštění libovolného kódu během procesu stahování. Chyba zabezpečení se projevuje při analýze obsahu konfiguračního souboru grub.cfg, který se obvykle nachází na oddílu ESP (EFI System Partition) a může jej upravit útočník s právy správce, aniž by došlo k narušení integrity podepsaného shimu a spustitelných souborů GRUB2.

Omylem v kódu analyzátoru konfigurace zobrazil obslužný program chyby fatální analýzy YY_FATAL_ERROR pouze varování, ale program neukončil. Nebezpečí zranitelnosti je sníženo potřebou privilegovaného přístupu do systému; problém však může být nezbytný pro implementaci skrytých rootkitů za přítomnosti fyzického přístupu k počítači (pokud je možné zavést systém z jeho média).

Z dalších nalezených chyb zabezpečení:

• CVE-2020-14308: Přetečení vyrovnávací paměti kvůli velikosti oblasti přidělené paměti, která není ověřena v grub_malloc.
• CVE-2020-14309: přetečení celého čísla v grub_squash_read_symlink, což může způsobit zápis dat mimo přidělenou vyrovnávací paměť.
• CVE-2020-14310: přetečení celého čísla v read_section_from_string, což může způsobit zápis dat mimo přidělenou vyrovnávací paměť.
• CVE-2020-14311: přetečení celého čísla v grub_ext2_read_link, což může způsobit zápis dat mimo přidělenou vyrovnávací paměť.
• CVE-2020-15705: umožňuje přímé zavedení nepodepsaných jader v režimu bezpečného spuštění bez prokládané mezivrstvy.
• CVE-2020-15706: přístup do oblasti paměti již uvolněné (use-after-free) při přerušení funkce za běhu.
• CVE-2020-15707: přetečení celého čísla v obslužné rutině velikosti initrd.

řešení

I když vše není ztraceno, protožek vyřešení tohoto problému, aktualizovat pouze seznam zrušených certifikátů (dbx, UEFI Revocation List) v systému, ale v tomto případě bude ztracena schopnost používat staré instalační médium s Linuxem.

Někteří výrobci hardwaru již zahrnovali aktualizovaný seznam zrušených certifikátů ve vašem firmwaru; Na takových systémech lze v režimu UEFI Secure Boot načíst pouze aktuální sestavení distribucí Linuxu.

Chcete-li opravit chybu zabezpečení v distribucích, bude také nutné aktualizovat instalační programy, zavaděče, balíčky jádra, firmware fwupd a vrstvu kompatibility, generování nových digitálních podpisů pro ně.

Uživatelé budou muset aktualizovat instalační obrazy a další spouštěcí médiaa stáhněte si seznam odvolaných certifikátů (dbx) do firmwaru UEFI. Až do aktualizace dbx v UEFI zůstane systém zranitelný bez ohledu na instalaci aktualizací v operačním systému.

Nakonec se uvádí, že byly vydány aktualizace opravného balíčku pro Debian, Ubuntu, RHEL a SUSE, stejně jako pro GRUB2 byla vydána sada oprav.