Der er offentliggjort et sæt patches, der adresserer 6 sårbarheder i GRUB2 bootloaderen, hvoraf de fleste kan føre til use-after-free problemer. Potentielt opdagede problemer kan udnyttes til at omgå UEFI Secure Boot's verificeringsmekanisme. Status for sårbarhedslukning i distributionerne kan vurderes på følgende sider: Debian, Ubuntu, SUSE, RHEL, Arch og Fedora. For at løse problemerne i GRUB2 er det ikke nok blot at opdatere pakken; det er også nødvendigt at oprette nye interne digitale signaturer og opdatere installatører, bootloadere, kernepakker, fwupd-firmware og shim-laget.
Identificerede sårbarheder:
- CVE-2025-61661 — buffer overflow i funktionen grub_usb_get_string(), som kan udnyttes ved behandling af strenge i UTF-8 og UTF-16 kodninger, der sendes ved tilslutning af USB-enheder. Problemet opstår, fordi bufferen blev tildelt baseret på størrelsen af strengen angivet i den første meddelelse fra USB-enheden, mens størrelsen ved konvertering af kodning blev beregnet baseret på efterfølgende læseoperationer fra USB-enheden. Følgelig kan et modificeret USB-enhed anvendes til angreb, der først returnerer et undervurderet størrelse.
- CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — mangel på oprydning af kommando-håndterere 'normal', 'normal_exit', 'net_set_vlan' og 'gettext' ved aflæsning af modulerne 'normal', 'net' og 'gettext', hvilket skaber forhold for use-after-free ved udførelse af de nævnte kommandoer efter aflæsning af de tilsvarende moduler. Lignende sårbarheder er også fundet for kommandoerne 'functional_test' og 'all_functional_test', men disse har ikke fået tildelt CVE-identifier, da disse kommandoer er en del af testbiblioteket og ikke bør inkluderes i produktions-builds.
- CVE-2025-54771 — fejl i tælling af referencer til 'fs' strukturer i funktionen grub_file_close(), hvilket fører til use-after-free.
I de fleste Linux-distributioner bruges et lille lag shim, som er digitalt signeret af Microsoft, til verifikation af opstart i UEFI Secure Boot-tilstand. Dette lag verificerer GRUB2 med sin egen certifikat, hvilket giver distributørerne mulighed for ikke at skulle godkende hver opdatering af kerne og GRUB hos Microsoft. Sårbarheder i GRUB2 gør det muligt at udføre sin egen kode efter en vellykket verifikation af shim, men før operativsystemet er indlæst, ved at trænge ind i tillidskæden under aktiv Secure Boot-tilstand og få fuld kontrol over den videre opstartsproces, for eksempel til at indlæse et andet OS, modificere komponenter i operativsystemet og omgå Lockdown-beskyttelsen.
For at blokere sårbarheden uden at tilbagekalde den digitale signatur kan distributionerne anvende mekanismen SBAT (UEFI Secure Boot Advanced Targeting), som understøttes af GRUB2, shim og fwupd i de fleste populære Linux-distributioner. SBAT er udviklet i samarbejde med Microsoft og indebærer tilføjelse af metadata til UEFI-komponenternes eksekverbare filer, som inkluderer oplysninger om producent, produkt, komponent og version. De nævnte metadata signeres digitalt og kan separat inkluderes i lister over tilladte eller forbudte komponenter til UEFI Secure Boot.
SBAT gør det muligt at blokere brugen af den digitale signatur for specifikke versionsnumre af komponenter uden at skulle tilbagekalde nøglerne til Secure Boot. Blokering af sårbarheder gennem SBAT kræver ikke brugen af en liste over tilbagekaldte UEFI-certifikater (dbx), men udføres på niveauet for udskiftning af den interne nøgle til dannelse af signaturer og opdatering af GRUB2, shim og andre boot-artifakter, der leveres af distributionerne. Inden SBAT blev indført, var opdatering af listen over tilbagekaldte certifikater (dbx, UEFI Revocation List) en obligatorisk betingelse for fuld blokering af sårbarheden, da en angriber, uanset hvilken operativsystem der blev brugt, kunne bruge en bootbare enhed med en gammel, sårbar version af GRUB2, signeret med et digitalt certifikat, til at kompromittere UEFI Secure Boot.
Kilde: opennet.ru
