Две уязвимости в GRUB2, позволяващи заобикаляне на защитата UEFI Secure Boot

Разкрити информация за две уязвимости в загрузчика GRUB2, които могат да доведат до изпълнение на код при използване на специфично форматирани шрифтове и обработка на определени Unicode последователности. Уязвимостите могат да се използват за заобикаляне на механизма за верифицирано стартиране UEFI Secure Boot.

Установени уязвимости:

• CVE-2022-2601 — преливане на буфера във функцията grub_font_construct_glyph() при обработка на специфично форматирани шрифтове в pf2 формат, възникващо поради неправилен расчет на параметъра max_glyph_size и заделяне на памет, явно по-малка от необходимата за разположение на глифовете.
• CVE-2022-3775 — запис извън заделената област памет при рисуване на някои Unicode последователности със специфично форматиран шрифт. Проблемът е наличен в кода за обработка на шрифтове и е причинен от липсата на адекватни проверки за съответствие на ширината и височината на глифа с размера на наличната битова карта. Нападателят може да подбере вход, за да предизвика запис на данни извън границите на заделения буфер. Отбелязва се, че въпреки сложността на експлоатацията на уязвимостта, не може да се изключи вероятността тя да доведе до изпълнение на код.

Поправка е публикувана под формата на патч. Статусът на отстраняване на уязвимостите в дистрибутивите може да бъде оценен на следните страници: Ubuntu, SUSE, RHEL, Fedora, Debian. За отстраняване на проблемите в GRUB2 не е достатъчно просто да се актуализира пакетът; също така е необходимо да се генерират нови вътрешни цифрови подписи и да се актуализират инсталатори, загрузчици, пакети с ядро, fwupd-драйвери и shim-мост.

В повечето Linux-дистрибутиви за верифициране на зареждането в режим UEFI Secure Boot се използва малка прослойка shim, подписана цифрово от Microsoft. Тази прослойка верифицира GRUB2 със собствен сертификат, което позволява на разработчиците на дистрибуции да не подписват всяка актуализация на ядрото и GRUB в Microsoft. Уязвимостите в GRUB2 позволяват изпълнение на собствен код след успешната верификация на shim, но преди зареждането на операционната система, пробивайки се в услугата за доверие при активен режим Secure Boot и получавайки пълен контрол над по-нататъшния процес на зареждане, включително за зареждане на друга ОС, модифициране на компоненти на операционната система и заобикаляне на защитата Lockdown.

За блокиране на уязвимостта без отзоваване на цифровата подписка, дистрибутивите могат да използват механизма SBAT (UEFI Secure Boot Advanced Targeting), чиято поддръжка е реализирана за GRUB2, shim и fwupd в повечето популярни дистрибутиви на Linux. SBAT е разработен съвместно с Microsoft и предполага добавяне в изпълними файлове на компоненти на UEFI на допълнителни метаданни, които включват информация за производителя, продукта, компонента и версията. Указаните метаданни се подписват цифрово и могат отделно да бъдат включени в списците на разрешени или забранени компоненти за UEFI Secure Boot.

SBAT позволява блокиране на използването на цифрова подпис за отделни версии на компоненти без необходимост от отзоваване на ключове за Secure Boot. Блокирането на уязвимостите чрез SBAT не изисква използване на списък с отзовани сертификати UEFI (dbx), а се извършва на ниво замяна на вътрешния ключ за генериране на подписи и актуализация на GRUB2, shim и други доставяни от дистрибутивите стартиращи артефакти. Преди внедряването на SBAT, актуализирането на списъка с отзовани сертификати (dbx, UEFI Revocation List) беше задължително условие за пълно блокиране на уязвимостта, тъй като нападателят, независимо от използваната операционна система, можеше за компрометиране на UEFI Secure Boot да използва стартиращ носител с стара уязвима версия на GRUB2, заверена с цифрова подпис.

Източник: opennet.ru