Публикувана е информация за 21 уязвимост в GRUB2 загрузчика, повечето от които водят до преливане на буфер и могат да се използват за заобикаляне на механизма за проверка на сигурността UEFI Secure Boot. Проблемите все още са отстранени само чрез пач. Статусът на отстраняване на уязвимостите в дистрибуциите може да се оцени на следните страници: Debian, Ubuntu, SUSE, RHEL, Fedora. За отстраняване на проблемите в GRUB2 не е достатъчно просто да актуализирате пакета, необходимо е също така да генерирате нови вътрешни цифрови подписи и да актуализирате инсталаторите, загрузчиците, пакетите с ядро, fwupd фърмуерите и shim слоя.
Разпознати уязвимости:
- CVE-2024-45774: запис извън границите на буфера при обработка на специално форматирани JPEG изображения.
- CVE-2024-45776, CVE-2024-45777: цели числени преливания при четене на специално форматирани mo файлове, водещи до записи извън буфера.
- CVE-2024-45778, CVE-2024-45779: цели числени преливания при работа с повредена файлова система BFS, водещи до преливане на буфера.
- CVE-2024-45780: числено преливане при обработка на специално форматирани tar архиви, водещо до запис извън буфера.
- CVE-2024-45781, CVE-2025-0677: преливания на буфера при работа с повредена файлова система UFS.
- CVE-2024-45782, CVE-2025-1125: преливания на буфера при монтиране на специално форматиран HFS дял.
- CVE-2025-0622: обръщение към памет след освобождаването ѝ при манипулации с модули, може да доведе до изпълнение на код от атакуващия.
- CVE-2025-0624: преливане на буфера при мрежово зареждане.
- CVE-2025-0678: преливания на буфера при работа с повредена файлова система Squash4.
- CVE-2025-0684: преливания на буфера при манипулации с символични линкове във файловата система Reiserfs.
- CVE-2025-0685: преливания на буфера при манипулации с символични линкове във файловата система JFS.
- CVE-2025-0685: преливания на буфера при манипулации с символични линкове във файловата система ROMFS.
- CVE-2025-0689: преливания на буфера при работа със специално модифициран UDF дял.
- CVE-2025-0690: преливания на буфера при получаване на специално форматирани данни от клавиатурата.
- CVE-2025-1118: заобикаляне на режим на изолация Lockdown и извличане на произволно съдържание от паметта чрез изпълнение на командата dump.
- CVE-2024-45775: липса на проверка на кода за грешка при разпределение на памет при анализ на предадени аргументи може да доведе до повреда на данните в IVT (Interrupt Vector Table).
- CVE-2024-45783: достъп по нулев показател при монтиране на некоректна ФС HFS+.
В повечето дистрибуции на Linux за удостоверяване на зареждането в режим UEFI Secure Boot се използва малък слой shim, удостоверен с цифровия подпис на Microsoft. Този слой удостоверява GRUB2 с помощта на собствен сертификат, което позволява на разработчиците на дистрибуции да не удостоверяват всяко обновление на ядрото и GRUB в Microsoft. Уязвимости в GRUB2 позволяват изпълнението на собствен код на етапа след успешното удостоверяване на shim, но преди зареждането на операционната система, вмешавайки се в веригата на доверие при активен режим Secure Boot и получавайки пълен контрол над последващия процес на зареждане, например, за зареждане на друга ОС, модификация на компонентите на операционната система и заобикаляне на защитата Lockdown.
За блокиране на уязвимостта без отзоваване на цифровия подпис, дистрибутивите могат да използват механизма SBAT (UEFI Secure Boot Advanced Targeting), чиято поддръжка е реализирана за GRUB2, shim и fwupd в повечето популярни дистрибутиви на Linux. SBAT е разработен съвместно с Microsoft и предполага добавяне в изпълняемите файлове на компонентите на UEFI допълнителни метаданни, които включват информация за производителя, продукта, компонента и версията. Посочените метаданни са удостоверени с цифров подпис и могат отделно да бъдат включвани в списъците с разрешени или забранени компоненти за UEFI Secure Boot.
SBAT позволява блокирането на използването на цифров подпис за отделни версии на компонентите без необходимост от отзоваване на ключовете за Secure Boot. Блокирането на уязвимости чрез SBAT не изисква използването на списък с отзовани сертификати UEFI (dbx), а се извършва на ниво подмяна на вътрешния ключ за формиране на подписи и обновление на GRUB2, shim и други предоставени дистрибутиви на зареждащи артефакти. Преди внедряването на SBAT, обновлението на списъка с отзовани сертификати (dbx, UEFI Revocation List) беше задължително условие за пълно блокиране на уязвимостта, тъй като атакуващият, независимо от използваната операционна система, можеше да компрометира UEFI Secure Boot, използвайки зареждащо устройство със стара уязвима версия на GRUB2, сертифицирана с цифров подпис.
Източник: opennet.ru
