Gumagamit ka ba ng Grub2? dapat mong i-update ngayon, tulad ng nahanap nila tungkol sa 8 kahinaan

Kung gumagamit ka ng Grub2 bilang iyong bootloader sa iyong computer hayaan mong sabihin ko sa iyo na dapat mo itong i-update ngayonwell kailan lang 8 mga kahinaan ang isiniwalat sa GRUB2 bootloader na ito na alin sa mga ito ay minarkahan bilang kritikal.

Ang pinaka-mapanganib sa mga ito ay ang isa na naka-catalog sa pangalan ng code Boothole (CVE-2020 hanggang 10713). Nakita ang kahinaan na ito ginagawang posible na lampasan ang mekanismo ng UEFI Secure boot at mai-install ang nakakahamak na software nang walang pag-verify.

Ang kakaibang uri ng kahinaan na ito ay, Upang ayusin ito, hindi sapat upang mai-update ang GRUB2 dahil ang isang magsasalakay ay maaaring gumamit ng bootable media na may isang mahina na bersyon nakaraan sertipikado ng isang digital na lagda. Maaaring ikompromiso ng isang magsasalakay ang proseso ng pag-verify hindi lamang para sa Linux, kundi pati na rin para sa iba pang mga operating system, kabilang ang Windows.

At ang problema ay iyon Karamihan sa mga pamamahagi ng Linux ay ginagamit isang maliit na layer ng shim para sa na-verify na boot, na kung saan ay digital na nilagdaan ng Microsoft.

Ang layer na ito ay nagpapatunay sa GRUB2 na may sariling sertipiko, na pinapayagan ang mga developer ng pamamahagi na hindi patunayan ang bawat GRUB kernel at mag-update sa Microsoft.

Pinapayagan ang kahinaan, kapag binabago ang nilalaman ng grub.cfg, makamit ang pagpapatupad ng iyong code sa yugto pagkatapos ng matagumpay na pag-verify ng shim, ngunit bago mag-load ang operating system, umaangkop sa kadena ng pagtitiwala kapag ang Secure Boot ay aktibo at nakakakuha ng kontrol Kabuuan tungkol sa karagdagang proseso ng boot, kasama ang pag-boot ng isa pang operating system, pagbabago ng mga bahagi ng operating system, at pag-bypass sa proteksyon ng pag-crash.

Ang kahinaan ay sanhi ng isang buffer overflow na maaaring samantalahin upang magpatupad ng di-makatwirang code sa panahon ng proseso ng pag-download. Ang kahinaan ay nagpapakita ng sarili nito kapag pinag-aaralan ang nilalaman ng file ng pagsasaayos ng grub.cfg, na kadalasang matatagpuan sa isang pagkahati ng ESP (EFI System Partition) at maaaring mai-edit ng isang umaatake na may mga karapatan sa administrator, nang hindi nilalabag ang integridad ng pinirmahang shim at GRUB2 na naisakatuparan.

Sa pamamagitan ng pagkakamali sa pagsasaayos ng code ng parser, ang nakamamatay na error sa pag-parse ng error na YY_FATAL_ERROR ay nagpakita lamang ng babala, ngunit hindi natapos ang programa. Ang panganib ng kahinaan ay nabawasan ng pangangailangan para sa pribilehiyong pag-access sa system; gayunpaman, ang problema ay maaaring kinakailangan para sa pagpapatupad ng mga nakatagong rootkit sa pagkakaroon ng pisikal na pag-access sa makina (kung posible na mag-boot mula sa media nito).

Sa iba pang mga kahinaan na natagpuan:

• CVE-2020-14308: Overflow ng buffer dahil sa laki ng inilaang lugar ng memorya na hindi na-verify sa grub_malloc.
• CVE-2020-14309: overeg overflow sa grub_squash_read_symlink, na maaaring maging sanhi ng pagsusulat ng data sa labas ng inilaang buffer.
• CVE-2020-14310: overeglove ng integer sa read_section_from_string, na maaaring maging sanhi ng pagsusulat ng data sa labas ng inilaang buffer.
• CVE-2020-14311: overeglove ng integer sa grub_ext2_read_link, na maaaring maging sanhi ng pagsusulat ng data sa labas ng inilaang buffer.
• CVE-2020-15705: nagbibigay-daan sa direktang pag-boot ng mga hindi naka-sign na kernel sa secure na mode ng boot nang walang interleaved interlayer.
• CVE-2020-15706: pag-access sa isang lugar ng memorya na napalaya (use-after-free) kapag pinalaglag ang isang pagpapaandar sa runtime.
• CVE-2020-15707: pag-overflow ng integer sa handler ng laki ng initrd.

solusyon

Bagaman ang lahat ay hindi nawala, mula pa, upang malutas ang problemang ito, i-update lamang ang listahan ng mga binawi na mga sertipiko (dbx, UEFI Revocation List) sa system, ngunit sa kasong ito, mawawala ang kakayahang gumamit ng lumang media ng pag-install sa Linux.

Ang ilang mga tagagawa ng hardware ay nagsama na ng na-update na listahan ng mga binawi na mga sertipiko sa iyong firmware; Sa mga naturang system, sa UEFI Secure Boot mode, ang mga napapanahong pagbuo lamang ng mga pamamahagi ng Linux ang maaaring mai-load.

Upang ayusin ang kahinaan sa mga pamamahagi, ang mga installer, bootloader, kernel packages, fwupd firmware at layer ng pagiging tugma ay kailangan ding i-update, bumubuo ng mga bagong digital na lagda para sa kanila.

Kailangang i-update ng mga gumagamit ang mga imahe sa pag-install at iba pang boot media, at i-download ang Listahan ng Pagbawi ng Sertipiko (dbx) sa firmware ng UEFI. Hanggang sa pag-update ng dbx sa UEFI, mananatiling mahina ang system anuman ang pag-install ng mga pag-update sa operating system.

Sa wakas ay naiulat ito ang mga update sa patch pack ay pinakawalan para sa Debian, Ubuntu, RHEL at SUSE, pati na rin para sa GRUB2 isang hanay ng mga patch ang pinakawalan.