Használja a Grub2-t? most frissítenie kell, mivel körülbelül 8 sebezhetőséget találtak

Ha a Grub2-et használja rendszerindítóként a számítógépén hadd mondjam el, hogy most frissítened kelljól a közelmúltban 8 sebezhetőséget tártak fel ebben a GRUB2 bootloaderben amelyek közül az egyik kritikusként van megjelölve.

A legveszélyesebb közülük a kódnévvel katalogizált BootHole (CVE-2020–10713). Ezt a biztonsági rést észlelték lehetővé teszi az UEFI Secure rendszerindítási mechanizmus megkerülését és a rosszindulatú szoftverek ellenőrzés nélküli telepítését.

A sebezhetőség sajátossága, hogy Javításához nem elég a GRUB2 frissítése, mivel a támadó sérülékeny verzióval használhatja az indítható adathordozókat előző digitális aláírással hitelesítve. A támadó nem csak a Linux, hanem más operációs rendszerek, köztük a Windows esetében is veszélyeztetheti az ellenőrzési folyamatot.

És a probléma az a legtöbb Linux disztribúció használja egy kis réteg alátét az ellenőrzött indításhoz, amelyet a Microsoft digitálisan aláír.

Ez a réteg saját tanúsítvánnyal ellenőrzi a GRUB2-t, lehetővé téve a terjesztési fejlesztők számára, hogy ne tanúsítsanak minden GRUB kernelt és frissítést a Microsoftra.

A biztonsági rés lehetővé teszi a grub.cfg tartalmának megváltoztatásakor, érje el a kód futtatását az alátét sikeres ellenőrzése után, de még az operációs rendszer betöltése előtt, beilleszkedni a bizalom láncolatába, amikor a Secure Boot aktív és megszerzi az irányítást Összesen a további indítási folyamatról, beleértve egy másik operációs rendszer indítását, az operációs rendszer összetevőinek módosítását és az ütközésvédelem megkerülését.

A sérülékenységet puffertúlcsordulás okozza amely kihasználható tetszőleges kód futtatására a letöltési folyamat során. A biztonsági rés a grub.cfg konfigurációs fájl tartalmának elemzésekor nyilvánul meg, amely általában egy ESP (EFI System Partition) partíción található, és egy rendszergazdai jogokkal rendelkező támadó szerkesztheti, anélkül, hogy megsértené az aláírt shim és GRUB2 futtatható fájlok integritását.

Tévedésből a konfigurációs elemző kódban a végzetes elemzési hibakezelő YY_FATAL_ERROR csak figyelmeztetést mutatott, de nem szüntette meg a programot. A sérülékenység veszélyét csökkenti a rendszerhez való kiemelt hozzáférés igénye; a problémára azonban szükség lehet rejtett gyökérkészletek megvalósításához a gép fizikai elérése esetén (ha lehetséges a hordozójáról indítani).

A többi feltárt sebezhetőség közül:

• CVE-2020-14308: Puffertúlcsordulás, mivel a lefoglalt memóriaterület mérete nem ellenőrizhető a grub_malloc fájlban.
• CVE-2020-14309: egész szám túlcsordul a grub_squash_read_symlink fájlban, ami az adatoknak a lefoglalt pufferen kívüli írását okozhatja.
• CVE-2020-14310: egész szám túlcsordulás a read_section_from_stringben, ami az adatoknak a lefoglalt pufferen kívüli írását okozhatja.
• CVE-2020-14311: egész szám túlcsordul a grub_ext2_read_link fájlban, ami miatt az adatok a lefoglalt pufferen kívülre íródhatnak.
• CVE-2020-15705: lehetővé teszi az aláíratlan kernek közvetlen indítását biztonságos indítási módban, átlapolt közbenső réteg nélkül.
• CVE-2020 15706-: hozzáférés egy már felszabadított memóriaterülethez (használat utáni használat), amikor futás közben megszakítja a funkciót.
• CVE-2020-15707: egész szám túlcsordulás az initrd méretkezelőben.

megoldások

Bár minden nincs elveszve, azóta, hogy megoldja ezt a problémát, csak a visszavont tanúsítványok listáját kell frissítenie (dbx, UEFI visszavonási lista) a rendszeren, de ebben az esetben elvész a régi telepítési adathordozók Linuxon történő használatának lehetősége.

Néhány hardvergyártó már felvette a visszavont tanúsítványok frissített listáját a firmware-ben; Ilyen rendszereken, UEFI Secure Boot módban, csak a Linux disztribúciók naprakész verziói tölthetők be.

A terjesztések biztonsági résének kijavításához a telepítőket, a rendszerbetöltőket, a rendszermag-csomagokat, az fwupd firmware-t és a kompatibilitási réteget is frissíteni kell, új digitális aláírások generálása számukra.

A felhasználóknak frissíteniük kell a telepítő képeket és más indító adathordozókat, és töltse le a tanúsítvány visszavonási listát (dbx) az UEFI firmware-ből. Az UEFI dbx frissítéséig a rendszer sérülékeny marad, függetlenül a frissítések telepítésétől az operációs rendszerben.

Végül arról számoltak be patch pack frissítések megjelentek a Debianhoz, az Ubuntuhoz, az RHEL-hez és a SUSE-hoz, valamint a GRUB2-hez egy sor patch kiadásra került.