I det opdatering, som Microsoft udsendte tirsdag til Windows-operativsystemet, er der opdaget et problem, der forhindrer opstart af Linux-systemer, der er installeret parallelt med Windows på samme computer. Problemet skyldes en ændring, der sigter mod at rette en gammel sårbarhed (CVE-2022-2601) i GRUB-bootloaderen, som blev rettet i 2022. Microsoft har endnu ikke offentliggjort en erklæring om det opståede problem og har ikke kommenteret det yderligere.
I notatet til ændringen blev det nævnt, at rettelsen, der muliggør implementeringen af den nye SBAT-politik (UEFI Secure Boot Advanced Targeting), vil blive anvendt til systemer, der kun bruger Windows, og ikke vil påvirke konfigurationer med dual boot (ændringen blokerede muligheden for at bruge bootbilleder med den gamle GRUB for at omgå Secure Boot på systemer, hvor kun Windows er installeret). Det blev også angivet, at ændringen kan føre til opstartsproblemer med iso-billeder fra gamle systemer, der leveres med en sårbar version af GRUB. I praksis har problemerne også vist sig for brugere af dual boot-systemer, der bruger nye Linux-distributioner som Ubuntu 24.04 og Debian 12.6, hvor sårbarheden i GRUB allerede var blevet rettet for længe siden.
Problemet viser sig som en stop i opstartsprocessen med beskeden "Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation." Som en måde at genoprette funktionaliteten anbefales det at fjerne de installerede SBAT-data i UEFI, hvilket kan gøres ved at deaktivere Secure Boot i firmware, starte med en ny Linux-distribution, der understøtter UEFI Secure Boot, f.eks. Ubuntu, udføre kommandoen "mokutil —set-sbat-policy delete" i konsollen og derefter genstarte Linux-distributionen for at installere den korrekte SBAT-politik. Derefter kan Secure Boot-tilstand returneres i firmware.
SBAT-mekanismen blev udviklet af Red Hat i samarbejde med Microsoft for at blokere sårbarheder i GRUB-bootloaderen og shim-laget uden at tilbagekalde digitale signaturer. SBAT forudsætter, at der tilføjes yderligere metadata til de eksekverbare filer i UEFI-komponenter, som inkluderer oplysninger om producent, produkt, komponent og version. De specifikke metadata er digitalt signeret og kan separat inkluderes i lister over tilladte eller blokerede komponenter for UEFI Secure Boot. SBAT muliggør blokering af brugen af digitale signaturer for specifikke versionnumre af komponenter uden behov for at tilbagekalde nøgler til Secure Boot.
Blokering af sårbarheder gennem SBAT kræver ikke brugen af UEFI tilbagekaldte certifikatlister (dbx), men sker på niveauet for at erstatte den interne nøgle til dannelse af signaturer og opdatering af GRUB2, shim og andre leverede bootartefakter. Før implementeringen af SBAT var opdatering af listen over tilbagekaldte certifikater (dbx, UEFI Revocation List) en forudsætning for fuldstændig blokering af sårbarheden, da en angriber, uanset hvilken styresystem der blev brugt, kunne bruge et bootmedie med en gammel sårbar version af GRUB2, der var digitalt signeret, til at kompromittere UEFI Secure Boot.
Kilde: opennet.ru
