В загрузчика GRUB2 е открита 21 уязвимост

Публикувани са данни за 21 уязвимост в зареждача GRUB2, повечето от които водят до преливане на буфера и могат да се използват за заобикалянето на механизма за проверка на автентичността UEFI Secure Boot. Проблемите за момента са разрешени само под формата на пач. Статусът на отстраняване на уязвимостите в дистрибуциите може да бъде оценен на следните страници: Debian, Ubuntu, SUSE, RHEL, Fedora. За да се отстранят проблемите в GRUB2, не е достатъчно просто да се актуализира пакета, необходимо е също да се генерират нови вътрешни цифрови подписи и да се актуализират инсталаторите, зареждачите, пакетите с ядрото, fwupd-фърмварите и shim-прослойките.

Установени уязвимости:

• CVE-2024-45774: запис извън границите на буфера при анализ на специално форматирани JPEG изображения.
• CVE-2024-45776, CVE-2024-45777: преливания на цели числа при четене на специално форматирани mo файлове, водещи до запис извън границите на буфера.
• CVE-2024-45778, CVE-2024-45779: преливания на цели числа при работа с повредена файлова система BFS, водещи до преливане на буфера.
• CVE-2024-45780: преливане на цели числа при обработка на специално форматирани tar архиви, водещи до запис извън границите на буфера.
• CVE-2024-45781, CVE-2025-0677: преливания на буфера при работа с повредена файлова система UFS.
• CVE-2024-45782, CVE-2025-1125: преливания на буфера при монтиране на специално форматиран дял HFS.
• CVE-2025-0622: достъп до паметта след нейното освобождаване при манипулации с модули, може да доведе до изпълнение на код от страна на атакуващия.
• CVE-2025-0624: преливане на буфера при мрежово зареждане.
• CVE-2025-0678: преливания на буфера при работа с повредена файлова система Squash4.
• CVE-2025-0684: преливания на буфера при манипулации със символични линкове в файловата система Reiserfs.
• CVE-2025-0685: преливания на буфера при манипулации със символични линкове в файловата система JFS.
• CVE-2025-0685: преливания на буфера при манипулации със символични линкове в файловата система ROMFS.
• CVE-2025-0689: преливания на буфера при работа с специално модифициран дял UDF.
• CVE-2025-0690: преливания на буфера при получаване на специално форматирани данни от клавиатурата.
• CVE-2025-1118: заобикаляне на режима на изолация Lockdown и извличане на произволно съдържание от паметта чрез изпълнение на команда за извличане.
• CVE-2024-45775: липса на проверка на кода за грешка при заделяне на памет при анализ на предадени аргументи може да доведе до повреждане на данните IVT (Таблица на векторите на прекъсванията).
• CVE-2024-45783: достъп до нулев указател при монтиране на неправилна файлова система HFS+.

В повечето Linux дистрибуции за удостоверена зареждане в режим UEFI Secure Boot се използва малък слой shim, заверен с цифровия подпис на Microsoft. Този слой удостоверява GRUB2 със собствен сертификат, което позволява на разработчиците на дистрибуции да не заверяват всяко обновление на ядрото и GRUB в Microsoft. Уязвимости в GRUB2 позволяват изпълнението на собствен код на етапа след успешната проверка на shim, но преди зареждането на операционната система, пробивайки веригата на доверие при активен режим Secure Boot и получавайки пълен контрол над по-нататъшния процес на зареждане, например, за зареждане на друга ОС, модифициране на компоненти на операционната система и заобикаляне на защитата Lockdown.

За блокиране на уязвимостта без отзоваване на цифровата подписка, дистрибутивите могат да използват механизма SBAT (UEFI Secure Boot Advanced Targeting), чиято поддръжка е реализирана за GRUB2, shim и fwupd в повечето популярни дистрибутиви на Linux. SBAT е разработен съвместно с Microsoft и предполага добавяне в изпълними файлове на компоненти на UEFI на допълнителни метаданни, които включват информация за производителя, продукта, компонента и версията. Указаните метаданни се подписват цифрово и могат отделно да бъдат включени в списците на разрешени или забранени компоненти за UEFI Secure Boot.

SBAT позволява блокиране на използването на цифрова подпис за отделни версии на компоненти без необходимост от отзоваване на ключове за Secure Boot. Блокирането на уязвимостите чрез SBAT не изисква използване на списък с отзовани сертификати UEFI (dbx), а се извършва на ниво замяна на вътрешния ключ за генериране на подписи и актуализация на GRUB2, shim и други доставяни от дистрибутивите стартиращи артефакти. Преди внедряването на SBAT, актуализирането на списъка с отзовани сертификати (dbx, UEFI Revocation List) беше задължително условие за пълно блокиране на уязвимостта, тъй като нападателят, независимо от използваната операционна система, можеше за компрометиране на UEFI Secure Boot да използва стартиращ носител с стара уязвима версия на GRUB2, заверена с цифрова подпис.

Източник: opennet.ru