Udviklere af Fedora Linux har præciseret situationen vedrørende udløbet af Microsofts certifikat i slutningen af juni, som anvendes til at bekræfte den digitale signatur af Shim-laget, der bruges til verificeret opstart af Linux-distributioner i UEFI Secure Boot-tilstand. Overgangen til det nye certifikat skal ske uden problemer for brugerne, da udløbet af certifikatets levetid faktisk kun vil føre til, at det ikke længere kan bruges til at lave nye signaturer. Under UEFI Secure Boot kontrolleres certifikatets gyldighed ikke, og det er kun tilbagekaldelse af kompromitterede certifikater, der har betydning.
Eksisterende systemer uden installation af shim-opdateringen vil fortsætte med at starte op, så længe den offentlige nøgle til certifikatet ikke er fjernet fra firmware eller ikke er tilføjet til listen over tilbagekaldte certifikater i UEFI (DBX). Microsoft signerer kun bootlaget shim, hvor den offentlige nøgle til distributionen er til stede, og som bruges til at bekræfte de indlæste komponenter som GRUB2-bootloaderen, Linux-kernen, kernelmodulerne og opstartsprocesserne som fwupd. Denne tilgang gør det muligt for Microsoft kun at bekræfte ændringer i shim-laget og selvstændigt sikre verifikation af opstarten af distributionen.
Microsofts certifikat til at bekræfte tredjepartsfirmwares til UEFI Secure Boot har været gyldigt siden 2011. I 2023 blev der genereret et nyt certifikat, som skulle bruges til at danne signaturer fra oktober 2025. Det opdaterede shim er allerede blevet tilføjet til Fedora Rawhide-repositoriet, som bruges til at danne udgivelsen af Fedora 45, og det er blevet signeret med flere nøgler for at sikre maksimal kompatibilitet med hardware (kan bruges både på gamle firmwares uden den offentlige nøgle til det nye certifikat og på firmwares uden den offentlige nøgle til det gamle certifikat).
Selvom udløb af Microsoft-certifikatet ikke bør påvirke opstartsfunktionaliteten, anbefaler Fedora-udviklerne brugerne at opdatere databasen med nøgler til Secure Boot, når nye versioner af firmware til deres udstyr bliver tilgængelige. For at kontrollere, om systemet er startet op i UEFI Secure Boot-tilstand, kan man bruge kommandoen «mokutil —sb-state», og for at vise listen over de åbne nøgler, der er indlejret i firmwaren, kan man bruge «mokutil —db —short». For at se nøglerne, som shim-laget er signeret med, kan man køre kommandoen «sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi», efter først at have installeret pakken pesign. For at tjekke, om der er en firmwareopdatering og installere den, kan man udføre kommandoen «sudo fwupdmgr update».
Den næste version af shim-laget vil kun blive signeret med et nyt Microsoft-certifikat, og det er nødvendigt at opdatere firmwaren for at forberede sine systemer til denne ændring. Opdateringen af shim vil blive frigivet i tilfælde af opdagelse af sårbarheder og alvorlige fejl, hvilket kan ske om en måned eller om et år. I løbet af shims eksistens i projektet er kritiske sårbarheder blevet fundet, og den seneste rapport om sikkerhedsproblemer med shim blev offentliggjort for blot få dage siden.
Rapporten nævner to nyligt identificerede sårbarheder CVE-2026-8863 og
CVE-2026-10797, som gør det muligt at udføre sin egen kode tidligt i opstarten, inden kontrol overføres til operativsystemet, omgå UEFI Secure Boot-beskyttelsen og muliggøre opstart af komponenter i kernen uden gyldig digital signatur. Problemerne påvirker shim-versioner op til og med version 0.9, der blev dannet inden 2016. Meget gamle systemer, såsom
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 og openSUSE med shim 0.9, er sårbare. Shim-lag op til og med version 0.9 er blevet tilføjet til databasen med tilbagekaldte digitale signaturer DBX (UEFI Forbidden Signature Database), og hvis DBX opdateres, vil de ikke kunne bruges til opstart i UEFI Secure Boot-tilstand.
Kilde: opennet.ru
