Byl zveřejněn balíček záplat, který odstraňuje 6 zranitelností v bootloaderu GRUB2, z nichž většina vede k přístupu k paměti po jejím uvolnění (use-after-free). Potenciálně zjištěné problémy mohou být využity k obcházení mechanismu ověřovaného spouštění UEFI Secure Boot. Stav odstranění zranitelností v distribucích lze posoudit na těchto stránkách: Debian, Ubuntu, SUSE, RHEL, Arch a Fedora. Pro odstranění problémů v GRUB2 není dostatečné pouze aktualizovat balíček, je také nutné vytvořit nové vnitřní digitální podpisy a aktualizovat instalátory, bootloadery, balíčky jádra, fwupd firmware a shim vrstvu.
Zjištěné zranitelnosti:
- CVE-2025-61661 — přetečení vyhrazeného bufferu ve funkci grub_usb_get_string(), které může být zneužito při zpracování řetězců v kódování UTF-8 a UTF-16 předávaných při připojení USB zařízení. Problém je způsoben tím, že buffer byl alokován na základě velikosti řetězce uvedené v první zprávě z USB zařízení, zatímco velikost se při provádění převodu kódování počítala na základě následných operací čtení z USB zařízení. Útok lze provést pomocí modifikovaného USB zařízení, které původně vrací zmenšenou hodnotu velikosti.
- CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — nedostatek vyčištění zpracovatelů příkazů "normal", "normal_exit", "net_set_vlan" a "gettext" při uvolnění modulů "normal", "net" a "gettext", což vytváří podmínky pro přístup k paměti po jejím uvolnění (use-after-free), pokud jsou tyto příkazy provedeny po uvolnění příslušných modulů. Podobné zranitelnosti byly rovněž nalezeny pro příkazy "functional_test" a "all_functional_test", avšak nebyly jim přiřazeny CVE identifikátory, protože tyto příkazy patří do testovací knihovny a neměly by být zahrnuty do pracovních sestavení.
- CVE-2025-54771 — chyba při počítání referencí na struktury "fs" ve funkci grub_file_close(), která vede k přístupu k paměti po jejím uvolnění (use-after-free).
Většina distribucí Linuxu pro verifikovanou bootování v režimu UEFI Secure Boot používá malou vrstvu shim, ověřenou digitálním podpisem Microsoftu. Tato vrstva ověřuje GRUB2 vlastním certifikátem, což umožňuje vývojářům distribucí nezaručovat každou aktualizaci jádra a GRUB u Microsoftu. Zranitelnosti v GRUB2 umožňují provést vlastní kód ve fázi po úspěšné verifikaci shim, ale před načtením operačního systému, vklízením do řetězce důvěry při aktivním režimu Secure Boot a získáním plné kontroly nad dalším procesem bootování, například pro načtení jiného operačního systému, modifikaci komponent operačního systému a obcházení ochrany Lockdown.
Pro zablokování zranitelnosti bez odvolání digitálního podpisu mohou distribuce použít mechanismus SBAT (UEFI Secure Boot Advanced Targeting), jehož podpora byla implementována pro GRUB2, shim a fwupd ve většině populárních distribucí Linuxu. SBAT byl vyvinut ve spolupráci s Microsoftem a zahrnuje přidání dalších metadat do spustitelných souborů komponent UEFI, která obsahují informace o výrobci, produktu, komponentě a verzi. Uvedená metadata jsou digitálně podepsána a mohou být samostatně zařazena do seznamů povolených nebo zakázaných komponent pro UEFI Secure Boot.
SBAT umožňuje zablokovat používání digitálního podpisu pro jednotlivé verze komponent bez nutnosti revokace klíčů pro Secure Boot. Blokování zranitelností prostřednictvím SBAT nevyžaduje použití seznamu odvolaných certifikátů UEFI (dbx), a probíhá na úrovni výměny interního klíče pro generování podpisů a aktualizaci GRUB2, shim a dalších dodávaných distribučních bootovacích artefaktů. Před zavedením SBAT bylo aktualizování seznamu odvolaných certifikátů (dbx, UEFI Revocation List) povinným předpokladem pro úplné zablokování zranitelnosti, protože útočník, bez ohledu na používaný operační systém, mohl k kompromitaci UEFI Secure Boot použít bootovací médium se starou zranitelnou verzí GRUB2, ověřenou digitálním podpisem.
Zdroj: opennet.ru
