Грешка при обновление на Windows блокира зареждането на Linux при използване на UEFI Secure Boot

В актуализацията на операционната система Windows, публикувана във вторник от Microsoft, е установен проблем, който води до невъзможност за стартиране на Linux системи, инсталирани на едно и също устройство паралелно с Windows. Причината за проблемите е поправка, насочена към премахване на стара уязвимост (CVE-2022-2601) в зареждача GRUB, коригирана през 2022 година. Microsoft все още не е публикувала коментари или изявления относно възникналия проблем.

В бележката към промените беше посочено, че поправката, която въведе новата политика SBAT (UEFI Secure Boot Advanced Targeting), ще се прилага за системи, на които се използва само Windows, и няма да засегне конфигурации с двойно зареждане (поправката блокира възможността за използване на образи за зареждане със стара версия на GRUB, за да се заобиколи Secure Boot на системи, на които е инсталирана само Windows). Също така беше посочено, че промяната може да доведе до проблеми със зареждането на iso-образи на стари системи, предоставени с уязвима версия на GRUB. В действителност, проблемите се проявиха и при потребителите на системи с двойно зареждане, използващи нови дистрибуции на Linux като Ubuntu 24.04 и Debian 12.6, в които уязвимостта в GRUB отдавна е била коригирана.

Проблемът се проявява в спирането на процеса на зареждане с изходно съобщение „Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation“. Като начин за възстановяване на работоспособността се препоръчва да се премахнат инсталираните в UEFI данни SBAT, за което може да се деактивира Secure Boot в фърмуера, да се зареди нова версия на Linux дистрибуция с поддръжка на UEFI Secure Boot, например, Ubuntu, да се изпълни в конзолата командата „mokutil —set-sbat-policy delete“, след което да се рестартира Linux дистрибуцията за инсталирането на коректната политика SBAT. След това режимът Secure Boot може отново да се активира във фърмуера.

Механизм SBAT е разработен от Red Hat съвместно с Microsoft за блокиране на уязвимости в зареждача GRUB и слоя shim без отзоваване на цифровия подпис. SBAT предполагава добавяне в изпълнимите файлове на компоненти UEFI на допълнителни метаданни, които включват информация за производител, продукт, компонент и версия. Посочените метаданни се подписват цифрово и могат да бъдат отделно включени в списъците с разрешени или забранени компоненти за UEFI Secure Boot. SBAT позволява блокиране на използването на цифровия подпис за отделни номера на версии на компоненти без необходимост от отзоваване на ключове за Secure Boot.

Блокирането на уязвимости чрез SBAT не изисква използването на списък с отзовани сертификати UEFI (dbx), а се извършва на ниво замяна на вътрешния ключ за формиране на подписи и актуализация на GRUB2, shim и други предоставени от дистрибуции зареждащи артефакти. Преди внедряването на SBAT, актуализирането на списъка с отзовани сертификати (dbx, UEFI Revocation List) беше задължително условие за пълно блокиране на уязвимост, тъй като атакуващият, независимо от използваната операционна система, можеше да компрометира UEFI Secure Boot, използвайки зареждащ носител със стара уязвима версия на GRUB2, сертифицирана с цифров подпис.

Източник: opennet.ru