Você usa Grub2? você deve atualizar agora, pois eles encontraram cerca de 8 vulnerabilidades

Se você estiver usando Grub2 como seu bootloader em seu computador deixe-me dizer que você deve atualizá-lo agorabem recentemente 8 vulnerabilidades foram divulgadas neste bootloader GRUB2 dos quais um deles é marcado como crítico.

O mais perigoso deles é aquele que está catalogado com o nome de código Buraco de inicialização (CVE-2020 a 10713). Esta vulnerabilidade detectada torna possível contornar o mecanismo de inicialização segura UEFI e instalar software malicioso sem verificação.

A peculiaridade desta vulnerabilidade é que, Para corrigir isso, não é suficiente atualizar o GRUB2, pois um invasor pode usar mídia inicializável com uma versão vulnerável anterior certificado por uma assinatura digital. Um invasor pode comprometer o processo de verificação não apenas do Linux, mas também de outros sistemas operacionais, incluindo o Windows.

E o problema é que a maioria das distribuições Linux usa uma pequena camada de calço para inicialização verificada, que é assinado digitalmente pela Microsoft.

Esta camada verifica o GRUB2 com seu próprio certificado, permitindo que os desenvolvedores de distribuição não certifiquem todos os kernel do GRUB e atualizem para a Microsoft.

A vulnerabilidade permite, ao alterar o conteúdo de grub.cfg, alcance a execução de seu código no estágio após a verificação bem-sucedida do shim, mas antes que o sistema operacional carregue, se encaixando na cadeia de confiança quando a inicialização segura está ativa e ganhando controle Total sobre o processo de inicialização adicional, incluindo inicializar outro sistema operacional, modificar componentes do sistema operacional e contornar a proteção contra travamentos.

A vulnerabilidade é causada por um estouro de buffer que pode ser explorado para executar código arbitrário durante o processo de download. A vulnerabilidade se manifesta ao analisar o conteúdo do arquivo de configuração grub.cfg, que geralmente está localizado em uma partição ESP (EFI System Partition) e pode ser editado por um invasor com direitos de administrador, sem violar a integridade do shim assinado e dos executáveis ​​GRUB2.

Por engano no código do analisador de configuração, o manipulador de erro de análise fatal YY_FATAL_ERROR mostrou apenas um aviso, mas não encerrou o programa. O perigo de vulnerabilidade é reduzido pela necessidade de acesso privilegiado ao sistema; entretanto, o problema pode ser necessário para a implementação de rootkits ocultos na presença de acesso físico à máquina (se for possível inicializar a partir de sua mídia).

Das outras vulnerabilidades encontradas:

• CVE-2020-14308: Estouro de buffer devido ao tamanho da área de memória alocada não ser verificada em grub_malloc.
• CVE-2020-14309: estouro de inteiro em grub_squash_read_symlink, que pode fazer com que os dados sejam gravados fora do buffer alocado.
• CVE-2020-14310: estouro de inteiro em read_section_from_string, que pode fazer com que os dados sejam gravados fora do buffer alocado.
• CVE-2020-14311: estouro de inteiro em grub_ext2_read_link, que pode fazer com que os dados sejam gravados fora do buffer alocado.
• CVE-2020-15705: permite a inicialização direta de kernels não assinados no modo de inicialização seguro sem uma camada intercalada.
• CVE-2020-15706: acesso a uma área de memória já liberada (use-after-free) ao abortar uma função em tempo de execução.
• CVE-2020-15707: estouro de inteiro no manipulador de tamanho initrd.

Soluções

Embora nem tudo esteja perdido, uma vez que, para resolver este problema, só precisa atualizar a lista de certificados revogados (dbx, Lista de revogação UEFI) no sistema, mas, neste caso, a capacidade de usar a mídia de instalação antiga com o Linux será perdida.

Alguns fabricantes de hardware já incluíram uma lista atualizada de certificados revogados em seu firmware; Em tais sistemas, no modo UEFI Secure Boot, apenas compilações atualizadas de distribuições Linux podem ser carregadas.

Para corrigir a vulnerabilidade nas distribuições, instaladores, carregadores de inicialização, pacotes de kernel, firmware fwupd e camada de compatibilidade também precisarão ser atualizados, gerando novas assinaturas digitais para eles.

Os usuários precisarão atualizar as imagens de instalação e outras mídias de inicializaçãoe baixe a lista de revogação de certificado (dbx) no firmware UEFI. Até a atualização do dbx na UEFI, o sistema permanece vulnerável, independentemente da instalação de atualizações no sistema operacional.

Finalmente, é relatado que atualizações do patch pack foram lançadas para Debian, Ubuntu, RHEL e SUSE, bem como para GRUB2, um conjunto de patches foi lançado.