I GRUB2 bootloader 8 sårbarheder. Den mest farlige (), der er tildelt kodeordet BootHole, at omgå UEFI Secure Boot-mekanismen og installere uautoriseret skadelig software. Et særpræg ved denne sårbarhed er, at det ikke er tilstrækkeligt blot at opdatere GRUB2 for at løse problemet, da en angriber kan bruge en boot-enhed med en tidligere sårbar version, som er blevet verificeret med en digital signatur. Angriberen kan kompromittere verifikationsprocessen for både Linux og andre operativsystemer, herunder .
Problemet kan kun løses ved at opdatere systemet (dbx, UEFI Revocation List), men i så fald vil muligheden for at bruge gamle installationsmedier med Linux gå tabt. Nogle hardwareproducenter har allerede inkluderet en opdateret liste over tilbagekaldte certifikater i deres firmware, hvilket betyder, at man på sådanne systemer i UEFI Secure Boot-tilstand kun kan starte op med de opdaterede versioner af Linux-distributionerne.
For at afhjælpe sårbarheden i distributionerne er det også nødvendigt at opdatere installatører, bootloadere, kernepakker, fwupd-firmware og shim-laget, ved at generere nye digitale signaturer for dem. Brugerne skal opdatere installationsbilleder og andre boot-medier samt indlæse listen over tilbagekaldte certifikater (dbx) i UEFI-firmware. Inden dbx er opdateret i UEFI, forbliver systemet sårbart, uanset opdateringerne i OS.
Sårbarhed buffer overflow, som kan udnyttes til at udføre vilkårlig kode under opstart.
Sårbarheden viser sig ved behandling af indholdet af grub.cfg-konfigurationsfilen, som normalt er placeret i ESP (EFI System Partition) og kan redigeres af en angriber med administratorrettigheder uden at kompromittere integriteten af de signerede eksekverbare filer shim og GRUB2. På grund af en fejl i konfigurationsparserens kode, returnerede fejlhåndtereren for fatale parsingfejl YY_FATAL_ERROR blot en advarsel, men afsluttede ikke programmet. Risikoen ved sårbarheden mindskes af nødvendigheden af privilegeret adgang til systemet, men problemet kan stadig være relevant for at implementere skjulte rootkits i tilfælde af fysisk adgang til hardwaren (hvis der er mulighed for at starte fra ens egen enhed).
I de fleste Linux-distributioner bruges et lille , der er verificeret med digital signatur fra Microsoft. Dette lag verificerer GRUB2 med sin egen certifikat, hvilket tillader distributører at undgå at få hver opdatering af kernen og GRUB godkendt af Microsoft. Sårbarheden tillader, gennem ændring af indholdet i grub.cfg, at udløse egen kode efter en vellykket verifikation af shim, men før operativsystemet indlæses, hvilket trækker sig ind i tillidens kæde under aktiv Secure Boot, og opnår fuld kontrol over den efterfølgende indlæsningsproces, herunder indlæsning af et andet operativsystem, modifikation af operativsystemets komponenter og omgåelse af beskyttelsen. .
Andre sårbarheder i GRUB2:
- — buffer overflow på grund af manglende størrelse kontrol for den tildelte hukommelsesområde i grub_malloc;
- — heltals overflow i grub_squash_read_symlink, som kan føre til skrivning af data uden for det tildelte buffer;
- — heltals overflow i read_section_from_string, som kan føre til skrivning af data uden for det tildelte buffer;
- — heltals overflow i grub_ext2_read_link, som kan føre til skrivning af data uden for det tildelte buffer;
- — tillader indlæsning af usignerede kerner ved direkte indlæsning i Secure Boot-tilstand uden shim-laget;
- — adgang til allerede frigivet hukommelsesområde (use-after-free) ved omdefinering af funktion under kørsel;
- — heltals overflow i handleren for initrd-størrelse.
Opdateringer med fejlrettelser er udgivet for , , og . For GRUB2 et patchsæt.
Kilde: opennet.ru
