ನೀವು ಗ್ರಬ್ 2 ಅನ್ನು ಬಳಸುತ್ತೀರಾ? 8 ದೋಷಗಳನ್ನು ಅವರು ಕಂಡುಕೊಂಡಂತೆ ನೀವು ಈಗ ನವೀಕರಿಸಬೇಕು

ನೀವು ಗ್ರಬ್ 2 ಬಳಸುತ್ತಿದ್ದರೆ ನಿಮ್ಮ ಕಂಪ್ಯೂಟರ್‌ನಲ್ಲಿ ನಿಮ್ಮ ಬೂಟ್‌ಲೋಡರ್ ಆಗಿ ನೀವು ಈಗ ಅದನ್ನು ನವೀಕರಿಸಬೇಕು ಎಂದು ನಾನು ನಿಮಗೆ ಹೇಳುತ್ತೇನೆಇತ್ತೀಚೆಗೆ 8 ದೋಷಗಳನ್ನು ಬಹಿರಂಗಪಡಿಸಲಾಯಿತು ಈ GRUB2 ಬೂಟ್‌ಲೋಡರ್‌ನಲ್ಲಿ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ವಿಮರ್ಶಾತ್ಮಕವೆಂದು ಗುರುತಿಸಲಾಗಿದೆ.

ಅತ್ಯಂತ ಅಪಾಯಕಾರಿ ಅವುಗಳಲ್ಲಿ ಕೋಡ್ ಹೆಸರಿನೊಂದಿಗೆ ಪಟ್ಟಿಮಾಡಲಾಗಿದೆ ಬೂಟ್‌ಹೋಲ್ (ಸಿವಿಇ -2020 ರಿಂದ 10713). ಈ ದುರ್ಬಲತೆ ಪತ್ತೆಯಾಗಿದೆ UEFI ಸುರಕ್ಷಿತ ಬೂಟ್ ಕಾರ್ಯವಿಧಾನವನ್ನು ಬೈಪಾಸ್ ಮಾಡಲು ಮತ್ತು ಪರಿಶೀಲನೆ ಇಲ್ಲದೆ ದುರುದ್ದೇಶಪೂರಿತ ಸಾಫ್ಟ್‌ವೇರ್ ಅನ್ನು ಸ್ಥಾಪಿಸಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ.

ಈ ದುರ್ಬಲತೆಯ ವಿಶಿಷ್ಟತೆಯೆಂದರೆ, ಇದನ್ನು ಸರಿಪಡಿಸಲು, ಆಕ್ರಮಣಕಾರರು ದುರ್ಬಲ ಆವೃತ್ತಿಯೊಂದಿಗೆ ಬೂಟ್ ಮಾಡಬಹುದಾದ ಮಾಧ್ಯಮವನ್ನು ಬಳಸಬಹುದಾದ್ದರಿಂದ GRUB2 ಅನ್ನು ನವೀಕರಿಸಲು ಇದು ಸಾಕಾಗುವುದಿಲ್ಲ ಹಿಂದಿನದು ಡಿಜಿಟಲ್ ಸಹಿಯಿಂದ ಪ್ರಮಾಣೀಕರಿಸಲಾಗಿದೆ. ಆಕ್ರಮಣಕಾರರು ಪರಿಶೀಲನಾ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಲಿನಕ್ಸ್‌ಗೆ ಮಾತ್ರವಲ್ಲ, ವಿಂಡೋಸ್ ಸೇರಿದಂತೆ ಇತರ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್‌ಗಳಿಗೂ ಹೊಂದಾಣಿಕೆ ಮಾಡಬಹುದು.

ಮತ್ತು ಸಮಸ್ಯೆ ಅದು ಹೆಚ್ಚಿನ ಲಿನಕ್ಸ್ ವಿತರಣೆಗಳು ಬಳಸುತ್ತವೆ ನ ಸಣ್ಣ ಪದರ ಪರಿಶೀಲಿಸಿದ ಬೂಟ್‌ಗಾಗಿ ಶಿಮ್ ಮಾಡಿ, ಇದನ್ನು ಮೈಕ್ರೋಸಾಫ್ಟ್ ಡಿಜಿಟಲ್ ಸಹಿ ಮಾಡಿದೆ.

ಈ ಪದರವು GRUB2 ಅನ್ನು ತನ್ನದೇ ಆದ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ ಪರಿಶೀಲಿಸುತ್ತದೆ, ವಿತರಣಾ ಅಭಿವರ್ಧಕರಿಗೆ ಪ್ರತಿ GRUB ಕರ್ನಲ್ ಅನ್ನು ಪ್ರಮಾಣೀಕರಿಸಲು ಮತ್ತು ಮೈಕ್ರೋಸಾಫ್ಟ್ಗೆ ನವೀಕರಿಸಲು ಅನುಮತಿಸುತ್ತದೆ.

Grub.cfg ನ ವಿಷಯವನ್ನು ಬದಲಾಯಿಸುವಾಗ ದುರ್ಬಲತೆ ಅನುಮತಿಸುತ್ತದೆ, ಶಿಮ್‌ನ ಯಶಸ್ವಿ ಪರಿಶೀಲನೆಯ ನಂತರ ಹಂತದಲ್ಲಿ ನಿಮ್ಮ ಕೋಡ್‌ನ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಯನ್ನು ಸಾಧಿಸಿ, ಆದರೆ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್ ಲೋಡ್ ಆಗುವ ಮೊದಲು, ಸುರಕ್ಷಿತ ಬೂಟ್ ಸಕ್ರಿಯವಾಗಿದ್ದಾಗ ಮತ್ತು ನಿಯಂತ್ರಣವನ್ನು ಪಡೆದಾಗ ನಂಬಿಕೆಯ ಸರಪಳಿಗೆ ಹೊಂದಿಕೊಳ್ಳುವುದು ಮತ್ತೊಂದು ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್ ಅನ್ನು ಬೂಟ್ ಮಾಡುವುದು, ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್ ಘಟಕಗಳನ್ನು ಮಾರ್ಪಡಿಸುವುದು ಮತ್ತು ಕ್ರ್ಯಾಶ್ ರಕ್ಷಣೆಯನ್ನು ಬೈಪಾಸ್ ಮಾಡುವುದು ಸೇರಿದಂತೆ ಹೆಚ್ಚುವರಿ ಬೂಟ್ ಪ್ರಕ್ರಿಯೆಯ ಬಗ್ಗೆ ಒಟ್ಟು.

ಬಫರ್ ಉಕ್ಕಿ ಹರಿಯುವುದರಿಂದ ದುರ್ಬಲತೆ ಉಂಟಾಗುತ್ತದೆ ಡೌನ್‌ಲೋಡ್ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ ಅನಿಯಂತ್ರಿತ ಕೋಡ್ ಅನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಇದನ್ನು ಬಳಸಿಕೊಳ್ಳಬಹುದು. Grub.cfg ಸಂರಚನಾ ಕಡತದ ವಿಷಯವನ್ನು ವಿಶ್ಲೇಷಿಸುವ ಮೂಲಕ ದುರ್ಬಲತೆಯನ್ನು ಬಹಿರಂಗಪಡಿಸಲಾಗುತ್ತದೆ, ಇದು ಸಾಮಾನ್ಯವಾಗಿ ಇಎಸ್ಪಿ (ಇಎಫ್‌ಐ ಸಿಸ್ಟಮ್ ಪಾರ್ಟಿಷನ್) ವಿಭಾಗದಲ್ಲಿದೆ ಮತ್ತು ಸಹಿ ಮಾಡಿದ ಶಿಮ್ ಮತ್ತು ಜಿಆರ್‌ಯುಬಿ 2 ಎಕ್ಸಿಕ್ಯೂಟೇಬಲ್‌ಗಳ ಸಮಗ್ರತೆಯನ್ನು ಉಲ್ಲಂಘಿಸದೆ ನಿರ್ವಾಹಕರ ಹಕ್ಕುಗಳನ್ನು ಹೊಂದಿರುವ ಆಕ್ರಮಣಕಾರರಿಂದ ಸಂಪಾದಿಸಬಹುದು.

ಕಾನ್ಫಿಗರೇಶನ್ ಪಾರ್ಸರ್ ಕೋಡ್‌ನಲ್ಲಿ ತಪ್ಪಾಗಿ, ಮಾರಕ ಪಾರ್ಸಿಂಗ್ ದೋಷ ಹ್ಯಾಂಡ್ಲರ್ YY_FATAL_ERROR ಕೇವಲ ಎಚ್ಚರಿಕೆಯನ್ನು ತೋರಿಸಿದೆ, ಆದರೆ ಪ್ರೋಗ್ರಾಂ ಅನ್ನು ಕೊನೆಗೊಳಿಸಲಿಲ್ಲ. ವ್ಯವಸ್ಥೆಗೆ ಸವಲತ್ತು ಪಡೆದ ಪ್ರವೇಶದ ಅಗತ್ಯತೆಯಿಂದ ದುರ್ಬಲತೆಯ ಅಪಾಯವು ಕಡಿಮೆಯಾಗುತ್ತದೆ; ಆದಾಗ್ಯೂ, ಯಂತ್ರಕ್ಕೆ ಭೌತಿಕ ಪ್ರವೇಶದ ಉಪಸ್ಥಿತಿಯಲ್ಲಿ ಗುಪ್ತ ರೂಟ್‌ಕಿಟ್‌ಗಳ ಅನುಷ್ಠಾನಕ್ಕೆ ಸಮಸ್ಯೆ ಅಗತ್ಯವಾಗಬಹುದು (ಅದರ ಮಾಧ್ಯಮದಿಂದ ಬೂಟ್ ಮಾಡಲು ಸಾಧ್ಯವಾದರೆ).

ಕಂಡುಬಂದ ಇತರ ದೋಷಗಳಲ್ಲಿ:

• ಸಿವಿಇ -2020-14308: ಹಂಚಿದ ಮೆಮೊರಿ ಪ್ರದೇಶದ ಗಾತ್ರವನ್ನು grub_malloc ನಲ್ಲಿ ಪರಿಶೀಲಿಸದ ಕಾರಣ ಬಫರ್ ಉಕ್ಕಿ ಹರಿಯುತ್ತದೆ.
• ಸಿವಿಇ -2020-14309: grub_squash_read_symlink ನಲ್ಲಿ ಪೂರ್ಣಾಂಕ ಉಕ್ಕಿ ಹರಿಯುತ್ತದೆ, ಇದು ಹಂಚಿಕೆಯ ಬಫರ್‌ನ ಹೊರಗೆ ಡೇಟಾವನ್ನು ಬರೆಯಲು ಕಾರಣವಾಗಬಹುದು.
• ಸಿವಿಇ -2020-14310: ರೀಡ್_ಸೆಕ್ಷನ್_ಫ್ರಾಮ್_ಸ್ಟ್ರಿಂಗ್‌ನಲ್ಲಿ ಪೂರ್ಣಾಂಕ ಉಕ್ಕಿ ಹರಿಯುತ್ತದೆ, ಇದು ನಿಯೋಜಿತ ಬಫರ್‌ನ ಹೊರಗೆ ಡೇಟಾವನ್ನು ಬರೆಯಲು ಕಾರಣವಾಗಬಹುದು.
• ಸಿವಿಇ -2020-14311: grub_ext2_read_link ನಲ್ಲಿ ಪೂರ್ಣಾಂಕ ಉಕ್ಕಿ ಹರಿಯುತ್ತದೆ, ಇದು ನಿಯೋಜಿತ ಬಫರ್‌ನ ಹೊರಗೆ ಡೇಟಾವನ್ನು ಬರೆಯಲು ಕಾರಣವಾಗಬಹುದು.
• ಸಿವಿಇ -2020-15705: ಇಂಟರ್ಲೀವ್ಡ್ ಇಂಟರ್ಲೇಯರ್ ಇಲ್ಲದೆ ಸುರಕ್ಷಿತ ಬೂಟ್ ಮೋಡ್‌ನಲ್ಲಿ ಸಹಿ ಮಾಡದ ಕರ್ನಲ್‌ಗಳ ನೇರ ಬೂಟಿಂಗ್ ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ.
• CVE-2020-15706: ಚಾಲನಾಸಮಯದಲ್ಲಿ ಕಾರ್ಯವನ್ನು ಸ್ಥಗಿತಗೊಳಿಸುವಾಗ ಈಗಾಗಲೇ ಮುಕ್ತವಾಗಿರುವ ಮೆಮೊರಿ ಪ್ರದೇಶಕ್ಕೆ ಪ್ರವೇಶ (ಉಚಿತ-ನಂತರ-ಬಳಕೆ).
• ಸಿವಿಇ -2020-15707: initrd ಗಾತ್ರದ ಹ್ಯಾಂಡ್ಲರ್ನಲ್ಲಿ ಪೂರ್ಣಾಂಕ ಉಕ್ಕಿ.

ಪರಿಹಾರಗಳು

ಎಲ್ಲವನ್ನೂ ಕಳೆದುಕೊಂಡಿಲ್ಲವಾದರೂ, ರಿಂದ, ಈ ಸಮಸ್ಯೆಯನ್ನು ಪರಿಹರಿಸಲು, ಹಿಂತೆಗೆದುಕೊಂಡ ಪ್ರಮಾಣಪತ್ರಗಳ ಪಟ್ಟಿಯನ್ನು ಮಾತ್ರ ನವೀಕರಿಸಿ (ಡಿಬಿಎಕ್ಸ್, ಯುಇಎಫ್‌ಐ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವಿಕೆ ಪಟ್ಟಿ), ಆದರೆ ಈ ಸಂದರ್ಭದಲ್ಲಿ, ಲಿನಕ್ಸ್‌ನೊಂದಿಗೆ ಹಳೆಯ ಅನುಸ್ಥಾಪನಾ ಮಾಧ್ಯಮವನ್ನು ಬಳಸುವ ಸಾಮರ್ಥ್ಯವು ಕಳೆದುಹೋಗುತ್ತದೆ.

ಕೆಲವು ಹಾರ್ಡ್‌ವೇರ್ ತಯಾರಕರು ಈಗಾಗಲೇ ಹಿಂತೆಗೆದುಕೊಂಡ ಪ್ರಮಾಣಪತ್ರಗಳ ಪಟ್ಟಿಯನ್ನು ಸೇರಿಸಿದ್ದಾರೆ ನಿಮ್ಮ ಫರ್ಮ್‌ವೇರ್‌ನಲ್ಲಿ; ಅಂತಹ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ, ಯುಇಎಫ್‌ಐ ಸುರಕ್ಷಿತ ಬೂಟ್ ಮೋಡ್‌ನಲ್ಲಿ, ಲಿನಕ್ಸ್ ವಿತರಣೆಗಳ ನವೀಕೃತ ನಿರ್ಮಾಣಗಳನ್ನು ಮಾತ್ರ ಲೋಡ್ ಮಾಡಬಹುದು.

ವಿತರಣೆಗಳಲ್ಲಿನ ದುರ್ಬಲತೆಯನ್ನು ಸರಿಪಡಿಸಲು, ಸ್ಥಾಪಕಗಳು, ಬೂಟ್‌ಲೋಡರ್‌ಗಳು, ಕರ್ನಲ್ ಪ್ಯಾಕೇಜುಗಳು, fwupd ಫರ್ಮ್‌ವೇರ್ ಮತ್ತು ಹೊಂದಾಣಿಕೆ ಪದರವನ್ನು ಸಹ ನವೀಕರಿಸಬೇಕಾಗಿದೆ, ಅವರಿಗೆ ಹೊಸ ಡಿಜಿಟಲ್ ಸಹಿಯನ್ನು ಉತ್ಪಾದಿಸುವುದು.

ಬಳಕೆದಾರರು ಅನುಸ್ಥಾಪನಾ ಚಿತ್ರಗಳು ಮತ್ತು ಇತರ ಬೂಟ್ ಮಾಧ್ಯಮವನ್ನು ನವೀಕರಿಸಬೇಕಾಗುತ್ತದೆ, ಮತ್ತು ಯುಇಎಫ್‌ಐ ಫರ್ಮ್‌ವೇರ್‌ನಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವ ಪಟ್ಟಿಯನ್ನು (ಡಿಬಿಎಕ್ಸ್) ಡೌನ್‌ಲೋಡ್ ಮಾಡಿ. ಯುಇಎಫ್‌ಐನಲ್ಲಿ ಡಿಬಿಎಕ್ಸ್ ನವೀಕರಣದವರೆಗೆ, ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂನಲ್ಲಿ ನವೀಕರಣಗಳ ಸ್ಥಾಪನೆಯ ಹೊರತಾಗಿಯೂ ಸಿಸ್ಟಮ್ ದುರ್ಬಲವಾಗಿರುತ್ತದೆ.

ಅಂತಿಮವಾಗಿ ಅದು ವರದಿಯಾಗಿದೆ ಪ್ಯಾಚ್ ಪ್ಯಾಕ್ ನವೀಕರಣಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಲಾಗಿದೆ ಡೆಬಿಯನ್, ಉಬುಂಟು, ಆರ್‌ಹೆಚ್‌ಎಲ್ ಮತ್ತು ಎಸ್‌ಯುಎಸ್‌ಇಗಾಗಿ, ಮತ್ತು ಜಿಆರ್‌ಯುಬಿ 2 ಗಾಗಿ ಒಂದು ಗುಂಪಿನ ಪ್ಯಾಚ್‌ಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಲಾಗಿದೆ.