V aktualizaci operačního systému Windows, kterou v úterý vydala společnost Microsoft, byla objevena chyba vedoucí k nemožnosti spuštění Linuxových systémů nainstalovaných na stejném počítači vedle Windows. Příčinou problémů je oprava zaměřená na odstranění staré zranitelnosti (CVE-2022-2601) v bootloaderu GRUB, která byla opravena v roce 2022. Společnost Microsoft dosud nezveřejnila žádné prohlášení týkající se tohoto problému a nijak ho nekomentovala.
V poznámce k této změně bylo uvedeno, že oprava zajišťující zavedení nové politiky SBAT (UEFI Secure Boot Advanced Targeting) bude aplikována na systémy, které používají pouze Windows, a nezasáhne konfigurace s dvojím spuštěním (změna zablokovala možnost používání zaváděcích obrazů se starým GRUB k obcházení Secure Boot na systémech s nainstalovaným pouze Windows). Bylo také uvedeno, že změna může způsobit problémy se spuštěním iso-obrazů starých systémů dodávaných se zranitelnou verzí GRUB. Ve skutečnosti se však problémy objevily i u uživatelů systémů s dvojím spuštěním, kteří používají nové distribuce Linuxu, jako jsou Ubuntu 24.04 a Debian 12.6, kde byla zranitelnost v GRUB již dávno odstraněna.
Problém se projevuje zastavením procesu zavádění s výpisem zprávy „Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation“. Jako způsob obnovení funkčnosti se doporučuje odstranit v UEFI uložená data SBAT, k čemuž lze vypnout Secure Boot v firmware, spustit nový Linuxový distribuce s podporou UEFI Secure Boot, například Ubuntu, provést v konzoli příkaz „mokutil —set-sbat-policy delete“, a poté restartovat Linuxový distribuce pro nastavení správné politiky SBAT. Poté je možné vrátit režim Secure Boot do firmware.
Mechanismus SBAT byl vyvinut společností Red Hat ve spolupráci se společností Microsoft za účelem blokování zranitelností v bootloaderu GRUB a vrstvách shim bez nutnosti odvolání digitálního podpisu. SBAT zahrnuje přidání dodatečných metadat do spustitelných souborů komponent UEFI, která obsahují informace o výrobci, produktu, komponentě a verzi. Uvedená metadata jsou digitálně podepsána a mohou být samostatně zahrnuta do seznamů povolených nebo zakázaných komponent pro UEFI Secure Boot. SBAT umožňuje blokovat používání digitálního podpisu pro jednotlivé čísla verzí komponent bez nutnosti odvolání klíčů pro Secure Boot.
Blokování zranitelností pomocí SBAT nevyžaduje použití seznamu odvolaných certifikátů UEFI (dbx), ale provádí se na úrovni nahrazení interního klíče pro generování podpisů a aktualizaci GRUB2, shim a dalších dodávaných distribučních bootovacích artefaktů. Před zavedením SBAT bylo aktualizování seznamu odvolaných certifikátů (dbx, UEFI Revocation List) nezbytnou podmínkou pro úplné blokování zranitelnosti, protože útočník, nezávisle na používaném operačním systému, mohl pro kompromitaci UEFI Secure Boot využít bootovací médium se starou zranitelnou verzí GRUB2, podepsanou digitálním podpisem.
Zdroj: opennet.ru
