৬টি GRUB2 বুটলোডার দুর্বলতা যা UEFI সিকিউর বুটকে বাইপাস করতে পারে

GRUB2 বুটলোডারের ছয়টি দুর্বলতা সমাধানের জন্য একগুচ্ছ প্যাচ প্রকাশ করা হয়েছে, যার বেশিরভাগই ইউজ-আফটার-ফ্রি (UAF) সমস্যার কারণ। এই সম্ভাব্য সমস্যাগুলো ব্যবহার করে UEFI সিকিওর বুট ভেরিফায়েড বুট মেকানিজমকে বাইপাস করা যেতে পারে। ডিস্ট্রিবিউশনগুলোতে এই প্যাচগুলোর অবস্থা নিম্নলিখিত পৃষ্ঠাগুলোতে যাচাই করা যাবে: Debian, UbuntuSUSE, RHEL, Arch, এবং Fedora। GRUB2-এর সমস্যা সমাধানের জন্য শুধু প্যাকেজ আপডেট করাই যথেষ্ট নয়; এর জন্য নতুন অভ্যন্তরীণ ডিজিটাল সিগনেচার তৈরি করা এবং ইনস্টলার, বুটলোডার, কার্নেল প্যাকেজ, fwupd ফার্মওয়্যার ও শিম লেয়ারও আপডেট করতে হয়।

চিহ্নিত দুর্বলতা:

• CVE-2025-61661 — USB ডিভাইস সংযোগ করার সময় ট্রান্সমিট করা UTF-8 এবং UTF-16 এনকোডেড স্ট্রিং প্রক্রিয়াকরণের সময় grub_usb_get_string() ফাংশনে একটি আউট-অফ-বাউন্ডস রাইট ব্যবহার করা যেতে পারে। USB ডিভাইস থেকে প্রথম বার্তায় নির্দিষ্ট স্ট্রিং আকারের উপর ভিত্তি করে বাফার বরাদ্দ করার কারণে এই সমস্যাটি দেখা দেয় এবং এনকোডিং রূপান্তরের সময় আকারটি USB ডিভাইস থেকে পরবর্তী পঠন ক্রিয়াকলাপের উপর ভিত্তি করে গণনা করা হয়েছিল। ফলস্বরূপ, একটি পরিবর্তিত USB ডিভাইস যা প্রাথমিকভাবে একটি অবমূল্যায়িত আকার প্রদান করে তা এই আক্রমণের জন্য ব্যবহার করা যেতে পারে।
• CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — "normal," "normal_exit," "net_set_vlan," এবং "gettext" কমান্ড হ্যান্ডলারগুলি "normal," "net," এবং "gettext" মডিউলগুলি আনলোড করার সময় পরিষ্কার করতে ব্যর্থতা। এটি সংশ্লিষ্ট মডিউলগুলি আনলোড করার পরে উপরে উল্লিখিত কমান্ডগুলি কার্যকর করার সময় একটি ব্যবহার-পরবর্তী-মুক্ত (UFS) দুর্বলতার জন্য পরিস্থিতি তৈরি করে। "functional_test" এবং "all_functional_test" কমান্ডগুলির জন্যও একই রকম দুর্বলতা পাওয়া গেছে, তবে তাদের CVE শনাক্তকারী বরাদ্দ করা হয়নি কারণ এই কমান্ডগুলি পরীক্ষা লাইব্রেরির অংশ এবং উৎপাদন বিল্ডগুলিতে অন্তর্ভুক্ত করা উচিত নয়।
• CVE-2025-54771 - grub_file_close() ফাংশনে "fs" স্ট্রাকচারের রেফারেন্স কাউন্টিংয়ে একটি ত্রুটির ফলে use-after-free তৈরি হয়।

সর্বাধিক LinuxUEFI সিকিওর বুট মোডে ভেরিফাইড বুটের জন্য ব্যবহৃত ডিস্ট্রিবিউশনগুলো মাইক্রোসফ্ট দ্বারা ডিজিটালভাবে স্বাক্ষরিত একটি ছোট শিম লেয়ার ব্যবহার করে। এই লেয়ারটি তার নিজস্ব সার্টিফিকেট দিয়ে GRUB2-কে যাচাই করে, ফলে ডিস্ট্রিবিউশন ডেভেলপারদের প্রতিটি কার্নেল এবং GRUB আপডেটের বিষয়ে মাইক্রোসফ্টকে জানানোর প্রয়োজন হয় না। GRUB2-এর দুর্বলতাগুলো সফল শিম যাচাইকরণের পরে, কিন্তু অপারেটিং সিস্টেম বুট হওয়ার আগে, যথেচ্ছভাবে কোড এক্সিকিউশনের সুযোগ করে দেয়। এর ফলে আক্রমণকারীরা সিকিওর বুট সক্রিয় থাকাকালীন ট্রাস্ট চেইন ভেঙে পরবর্তী বুট প্রক্রিয়ার উপর সম্পূর্ণ নিয়ন্ত্রণ লাভ করতে পারে, যেমন—অন্য কোনো OS বুট করা, অপারেটিং সিস্টেমের উপাদান পরিবর্তন করা, বা লকডাউন সুরক্ষা বাইপাস করা।

ডিজিটাল স্বাক্ষর বাতিল না করেই দুর্বলতাটি প্রতিরোধ করতে, ডিস্ট্রিবিউশনগুলো SBAT (UEFI Secure Boot Advanced Targeting) পদ্ধতি ব্যবহার করতে পারে, যার সমর্থন বেশিরভাগ জনপ্রিয় ডিস্ট্রিবিউশনে GRUB2, shim এবং fwupd-এর জন্য প্রয়োগ করা হয়েছে। LinuxSBAT মাইক্রোসফটের সহযোগিতায় তৈরি করা হয়েছে এবং এর মাধ্যমে UEFI কম্পোনেন্টের এক্সিকিউটেবল ফাইলগুলোতে অতিরিক্ত মেটাডেটা যোগ করা হয়, যার মধ্যে প্রস্তুতকারক, পণ্য, কম্পোনেন্ট এবং সংস্করণ সম্পর্কিত তথ্য অন্তর্ভুক্ত থাকে। এই মেটাডেটা ডিজিটালভাবে স্বাক্ষরিত থাকে এবং UEFI সিকিউর বুটের জন্য অনুমোদিত বা অননুমোদিত কম্পোনেন্টের তালিকায় এটিকে আলাদাভাবে অন্তর্ভুক্ত করা যায়।

SBAT আপনাকে সিকিউর বুটের জন্য কী প্রত্যাহার না করেই পৃথক কম্পোনেন্ট সংস্করণ নম্বরের জন্য ডিজিটাল স্বাক্ষরের ব্যবহার ব্লক করতে দেয়। SBAT-এর মাধ্যমে দুর্বলতাগুলিকে ব্লক করার জন্য UEFI শংসাপত্র প্রত্যাহার তালিকা (dbx) ব্যবহারের প্রয়োজন হয় না, তবে স্বাক্ষর তৈরি করতে এবং GRUB2, শিম এবং বিতরণ দ্বারা সরবরাহ করা অন্যান্য বুট আর্টিফ্যাক্ট আপডেট করতে অভ্যন্তরীণ কী প্রতিস্থাপনের স্তরে সঞ্চালিত হয়। SBAT প্রবর্তনের আগে, সার্টিফিকেট প্রত্যাহার তালিকা (dbx, UEFI প্রত্যাহার তালিকা) আপডেট করা ছিল দুর্বলতাকে সম্পূর্ণরূপে অবরুদ্ধ করার পূর্বশর্ত, যেহেতু একজন আক্রমণকারী, ব্যবহার করা অপারেটিং সিস্টেম নির্বিশেষে, GRUB2 এর একটি পুরানো দুর্বল সংস্করণের সাথে বুটেবল মিডিয়া ব্যবহার করতে পারে, একটি ডিজিটাল স্বাক্ষর দ্বারা প্রত্যয়িত, UEFI সিকিউর বুট আপস করতে।

উত্স: opennet.ru