Vývojáři Fedora Linux objasnili situaci ohledně vypršení platnosti certifikátu Microsoft, který je aplikován pro ověřování digitálního podpisu vrstvy Shim, používané pro ověřený start distribucí Linuxu v režimu UEFI Secure Boot na konci června. Přechod na nový certifikát by měl proběhnout pro uživatele bez viditelného zásahu, protože faktické vypršení platnosti certifikátu povede pouze k nemožnosti jeho použití pro vytváření nových podpisů. Během startu UEFI Secure Boot se platnost certifikátu nekontroluje a je důležitý pouze pro stažení zkompromitovaných certifikátů.
Stávající systémy bez instalace aktualizace shim budou pokračovat v zavádění do doby, než bude veřejný klíč certifikátu odstraněn z firmware nebo zařazen na seznam odvolaných certifikátů UEFI (DBX). Klíč Microsoftu ověřuje pouze zaváděcí vrstvu shim, v níž je přítomen veřejný klíč distribuce, který se používá pro ověřování zaváděných komponent, jako je zaváděč GRUB2, jádro Linuxu, moduly jádra a procesy používané při startu, jako je fwupd. Takový přístup umožňuje ověřit v Microsoftu pouze změny ve vrstvě shim a samostatně zajistit verifikaci procesu zavádění distribuce.
Certifikát Microsoft pro ověřování třetích stran firmware pro UEFI Secure Boot je v platnosti od roku 2011. V roce 2023 byl vytvořen nový certifikát, který začne být používán pro tvorbu podpisů od října 2025. Do repozitáře Fedora Rawhide, na jehož základě se vytváří vydání Fedora 45, byl již přidán aktualizovaný shim, ověřený několika klíči pro zajištění maximální kompatibility s hardwarem (může být používán jak na starých firmwarech bez veřejného klíče nového certifikátu, tak na firmwarech bez veřejného klíče starého certifikátu).
Ačkoli vypršení platnosti certifikátu Microsoft by nemělo ovlivnit funkčnost spouštění, vývojáři Fedora doporučují uživatelům aktualizovat databázi s klíči pro Secure Boot při vydání nových verzí firmwaru pro jejich zařízení. K ověření, zda byla systém spuštěn v režimu UEFI Secure Boot, lze použít příkaz "mokutil —sb-state", a k zobrazení seznamu dostupných otevřených klíčů ve firmwaru pak příkaz "mokutil —db —short". Pro zobrazení klíčů, kterými je podepsána vrstva shim, je možné spustit příkaz "sudo pesign -S -i \/boot\efi\/EFI\/fedora\/shimx64.efi", přičemž je nutné nejprve nainstalovat balíček pesign. Pro kontrolu dostupnosti aktualizace firmwaru a jeho instalaci lze spustit příkaz "sudo fwupdmgr update".
Další verze vrstvy shim bude ověřena pouze novým certifikátem Microsoft, a aktualizace firmwaru je nezbytná pro přípravu systému na tuto změnu. Aktualizace shim bude vydána v případě, že budou zjištěny zranitelnosti nebo vážné chyby, což se může stát jak za měsíc, tak za rok. Během existence shim v projektu byly nalezeny kritické zranitelnosti a poslední zpráva o bezpečnostních problémech v shim byla vydána teprve před několika dny.
Ve zprávě jsou uvedeny dvě nedávno objevené zranitelnosti CVE-2026-8863 a
CVE-2026-10797, které umožňují provedení vlastního kódu v rané fázi spouštění před předáním kontroly operačnímu systému, obejít ochranu UEFI Secure Boot a umožnit spouštění nezaručených digitálně podepsaných komponent jádra. Problémy se týkají verzí shim do 0.9 včetně, vytvořených před rokem 2016. Útokům podléhají velmi staré systémy, jako
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 a openSUSE s shim 0.9. Vrstvy shim do verze 0.9 včetně byly přidány do databáze odvolaných digitálních podpisů DBX (UEFI Forbidden Signature Database) a v případě aktualizace DBX v systému nebudou moci být použity pro spouštění v režimu UEFI Secure Boot.
Zdroj: opennet.ru
