Трудноустранени уязвимости в GRUB2, позволяващи заобикаляне на UEFI Secure Boot

Разкрита е информация за 8 уязвимости в зареждача GRUB2, които позволяват заобикаляне на механизма UEFI Secure Boot и осигуряване на стартиране на невалиден код, например, внедряване на зловреден софтуер, работещ на ниво зареждач или ядро.

Напомняме, че в повечето Linux дистрибуции за удостоверяване на зареждането в режим UEFI Secure Boot се използва малка прослойка shim, заверена с цифров подпис от Microsoft. Тази прослойка удостовери GRUB2 със собствен сертификат, което позволява на разработчиците на дистрибуции да не заверяват всяка актуализация на ядрото и GRUB в Microsoft. Уязвимостите в GRUB2 позволяват изпълнение на собствен код на етапа след успешна верификация на shim, но преди зареждане на операционната система, проникавайки в веригата на доверие с активен режим Secure Boot и получавайки пълен контрол върху по-нататъшния процес на зареждане, включително за зареждане на друга ОС, модифициране на компоненти на операционната система и заобикаляне на защитата Lockdown.

Както в случая с уязвимостта BootHole миналата година, за блокиране на проблема не е достатъчно просто да се обнови зареждачът, тъй като атакуващият, независимо от използваната операционна система, може за компрометиране на UEFI Secure Boot да използва загрузочен носител със стара уязвима версия на GRUB2, заверена с цифров подпис. Проблемът се решава само с актуализиране на списъка с отзовани сертификати (dbx, UEFI Revocation List), но в такъв случай ще се загуби възможността за ползване на стари инсталационни носители с Linux.

На системи с фърмуери, в които е актуализиран списъкът с отзовани сертификати, в режим UEFI Secure Boot ще може да се зареждат само актуализирани сборки на дистрибуции на Linux. Дистрибуциите ще трябва да актуализират инсталаторите, зареждачите, пакетите с ядро, fwupd фърмуерите и shim прослойката, генерирайки нови цифрови подписи за тях. Потребителите трябва да актуализират инсталационните образи и другите зареждащи носители, както и да заредят списъка с отзовани сертификати (dbx) във фърмуера UEFI. До актуализирането на dbx в UEFI системата остава уязвима независимо от инсталирането на актуализации в ОС. Статусът на отстраняване на уязвимостите може да бъде оценен на тези страници: Ubuntu, SUSE, RHEL, Debian.

За решаване на проблемите, които възникват при разпространението на отзовани сертификати, в бъдеще се планира да бъде използван механизъм SBAT (UEFI Secure Boot Advanced Targeting), чиято поддръжка е реализирана за GRUB2, shim и fwupd, и от следващите актуализации ще бъде използвана вместо функционалността, предоставяна от пакета dbxtool. SBAT е разработен съвместно с Microsoft и предвижда добавяне в изпълними файлове на компоненти UEFI на нови метаданни, които включват информация за производителя, продукта, компонента и версията. Указаните метаданни са подписани цифрово и могат допълнително да бъдат включвани в списъци с разрешени или забранени компоненти за UEFI Secure Boot. Така SBAT ще позволи при отзоваване да се манипулира с версиите на компонентите без необходимост от регенериране на ключовете за Secure Boot и без формироване на нови подписи за ядрото, shim, grub2 и fwupd.

Разпознати уязвимости:

• CVE-2020-14372 — с помощта на командата acpi в GRUB2, привилегирован потребител на локалната система може да зареди модифицирани ACPI таблици, разполагащи SSDT (Secondary System Description Table) в директорията /boot/efi и променяйки настройките в grub.cfg. Въпреки активността на режима Secure Boot, предложеното SSDT ще бъде изпълнено от ядрото и може да се използва за деактивиране на защитата LockDown, която блокира обходните пътища на UEFI Secure Boot. В резултат на това нападателят може да постигне зареждането на своя модул на ядрото или изпълнението на код чрез механизма kexec, без проверка на цифровата подпись.
• CVE-2020-25632 — достъп до вече освободена област от паметта (use-after-free) в реализацията на командата rmmod, проявяваща се при опит за изтегляне на всякакъв модул, без да се вземат предвид свързаните с него зависимости. Уязвимостта не изключва създаването на експлоит, който може да доведе до изпълнение на код заобикалящ верификацията на Secure Boot.
• CVE-2020-25647 — запис извън границите на буфера в функцията grub_usb_device_initialize(), извиквана при инициализация на USB устройства. Проблемът може да бъде експлоатиран чрез свързване на специално подготвено USB устройство, което предоставя параметри, размерите на които не съответстват на размера на буфера, заделен за USB структури. Нападателят може да постигне изпълнението на код, не верифициран в Secure Boot, чрез манипулации с USB устройства.
• CVE-2020-27749 — препълване на буфер във функцията grub_parser_split_cmdline(), което може да бъде предизвикано чрез указване на променливи в командния ред на GRUB2 с размер над 1 КБ. Уязвимостта позволява изпълнение на код, заобикаляйки Secure Boot.
• CVE-2020-27779 — командата cutmem позволява на нападателя да премахне диапазон от адреси от паметта, за да заобиколи Secure Boot.
• CVE-2021-3418 — промените в shim_lock създават допълнителен вектор за експлоатация на уязвимостта от миналата година CVE-2020-15705. При инсталиране в dbx на сертификата, използван за подписване на GRUB2, GRUB2 позволява да се зареди всяко ядро директно без проверка на подписа.
• CVE-2021-20225 — възможност за запис на данни извън буфера при изпълнение на команди с много голям брой опции.
• CVE-2021-20233 — възможност за запис на данни извън границите на буфера поради неправилно изчисляване на размера на буфера при използване на кавички. При изчисляването на размера се предполага, че за екранирането на единична кавичка са необходими три символа, докато всъщност са нужни четири.

Източник: opennet.ru