Używasz Grub2? powinieneś zaktualizować teraz, ponieważ znaleźli około 8 luk

Jeśli używasz Grub2 jako program ładujący na twoim komputerze powiem ci, że powinieneś go teraz zaktualizowaćdobrze niedawno Ujawniono 8 luk w zabezpieczeniach w tym bootloaderze GRUB2 z których jeden z nich jest oznaczony jako krytyczny.

Najniebezpieczniejszy z nich to ten, który jest skatalogowany pod kryptonimem BootHole Boot (CVE-2020 do 10713). Wykryto tę lukę umożliwia ominięcie mechanizmu uruchamiania UEFI Secure i zainstalowanie złośliwego oprogramowania bez weryfikacji.

Osobliwością tej luki jest to, że Aby to naprawić, nie wystarczy zaktualizować GRUB2, ponieważ osoba atakująca może użyć nośnika startowego z podatną na ataki wersją poprzedni poświadczone podpisem cyfrowym. Osoba atakująca może złamać proces weryfikacji nie tylko w przypadku Linuksa, ale także innych systemów operacyjnych, w tym Windows.

A problem w tym większość dystrybucji Linuksa używa mała warstwa podkładka do sprawdzonego rozruchu, który jest podpisany cyfrowo przez firmę Microsoft.

Ta warstwa weryfikuje GRUB2 własnym certyfikatem, co pozwala programistom dystrybucyjnym nie certyfikować każdego jądra GRUB i aktualizować do firmy Microsoft.

Luka umożliwia zmianę zawartości pliku grub.cfg, osiągnij wykonanie swojego kodu na etapie po pomyślnej weryfikacji podkładki, ale przed załadowaniem systemu operacyjnego, wpisanie się w łańcuch zaufania, gdy Secure Boot jest aktywny i uzyskuje kontrolę Łącznie o dodatkowym procesie uruchamiania, w tym uruchamianiu innego systemu operacyjnego, modyfikowaniu składników systemu operacyjnego i omijaniu ochrony przed awarią.

Luka jest spowodowana przepełnieniem bufora które można wykorzystać do wykonania dowolnego kodu podczas procesu pobierania. Luka ujawnia się podczas analizy zawartości pliku konfiguracyjnego grub.cfg, który zwykle znajduje się na partycji ESP (EFI System Partition) i może być edytowany przez osobę atakującą z uprawnieniami administratora, bez naruszania integralności podpisanej podkładki i plików wykonywalnych GRUB2.

Przez pomyłkę w kodzie parsera konfiguracji, procedura obsługi krytycznego błędu analizowania YY_FATAL_ERROR pokazała tylko ostrzeżenie, ale nie zakończyła działania programu. Ryzyko podatności jest ograniczone przez potrzebę uprzywilejowanego dostępu do systemu; jednak problem może być konieczny do implementacji ukrytych rootkitów w przypadku fizycznego dostępu do maszyny (jeśli możliwe jest uruchomienie z nośnika).

Spośród innych znalezionych luk w zabezpieczeniach:

• CVE-2020-14308: Przepełnienie buforu z powodu rozmiaru przydzielonego obszaru pamięci, który nie został zweryfikowany w grub_malloc.
• CVE-2020-14309: przepełnienie liczby całkowitej w grub_squash_read_symlink, co może spowodować zapisanie danych poza przydzielonym buforem.
• CVE-2020-14310: przepełnienie liczby całkowitej w read_section_from_string, co może spowodować zapisanie danych poza przydzielonym buforem.
• CVE-2020-14311: przepełnienie liczby całkowitej w grub_ext2_read_link, co może spowodować zapisanie danych poza przydzielonym buforem.
• CVE-2020-15705: umożliwia bezpośrednie uruchamianie niepodpisanych jąder w trybie bezpiecznego rozruchu bez przeplatanej warstwy pośredniej.
• CVE-2020-15706: dostęp do obszaru pamięci już zwolnionego (użyj po zwolnieniu) podczas przerywania funkcji w czasie wykonywania.
• CVE-2020-15707: przepełnienie liczby całkowitej w programie obsługi rozmiaru initrd.

rozwiązania

Chociaż nie wszystko jest stracone, ponieważ, by rozwiązać ten problem, aktualizuj tylko listę unieważnionych certyfikatów (dbx, lista odwołań UEFI) w systemie, ale w tym przypadku możliwość użycia starego nośnika instalacyjnego z Linuksem zostanie utracona.

Niektórzy producenci sprzętu uwzględnili już zaktualizowaną listę unieważnionych certyfikatów w twoim oprogramowaniu; W takich systemach w trybie UEFI Secure Boot można ładować tylko aktualne kompilacje dystrybucji Linuksa.

Aby naprawić lukę w dystrybucjach, instalatory, programy ładujące, pakiety jądra, oprogramowanie sprzętowe fwupd i warstwa zgodności również będą wymagały aktualizacji, generowanie dla nich nowych podpisów cyfrowych.

Użytkownicy będą musieli zaktualizować obrazy instalacyjne i inne nośniki startowei pobierz listę certyfikatów unieważnionych (dbx) do oprogramowania układowego UEFI. Aż do aktualizacji dbx w UEFI, system pozostaje podatny na ataki niezależnie od instalacji aktualizacji w systemie operacyjnym.

Wreszcie jest to zgłaszane zostały wydane aktualizacje pakietów poprawek dla Debiana, Ubuntu, RHEL i SUSE, a także dla GRUB2 został wydany zestaw łatek.