Der er offentliggjort oplysninger om 21 sårbarheder i GRUB2 bootloaderen, hvoraf de fleste fører til bufferoverløb og kan bruges til at omgå UEFI Secure Boot's verificeringsmekanisme. Problemerne er indtil videre kun blevet løst i form af en patch. Status for sårbarhedsløsninger i distributionerne kan vurderes på følgende sider: Debian, Ubuntu, SUSE, RHEL, Fedora. For at løse problemerne i GRUB2 er det ikke nok blot at opdatere pakken, det er også nødvendigt at danne nye interne digitale signaturer samt opdatere installatører, bootloadere, kernepakker, fwupd-firmware og shim-laget.
Identificerede sårbarheder:
- CVE-2024-45774: skrivning uden for buffer ved parsing af specielt udformede JPEG-billeder.
- CVE-2024-45776, CVE-2024-45777: heltalsoverløb ved læsning af specielt udformede mo-filer, der fører til skrivning uden for buffer.
- CVE-2024-45778, CVE-2024-45779: heltalsoverløb ved arbejde med beskadiget BFS-filsystem, der fører til bufferoverløb.
- CVE-2024-45780: heltalsoverløb ved behandling af specielt udformede tar-arkiver, der fører til skrivning uden for buffer.
- CVE-2024-45781, CVE-2025-0677: bufferoverløb ved arbejde med beskadiget UFS-filsystem.
- CVE-2024-45782, CVE-2025-1125: bufferoverløb ved monterings af specielt udformet HFS-partition.
- CVE-2025-0622: adgang til hukommelse efter frigivelse under manipulation af moduler, hvilket kan føre til udførelse af angriberens kode.
- CVE-2025-0624: bufferoverløb ved netværksopstart.
- CVE-2025-0678: bufferoverløb ved arbejde med beskadiget Squash4-filsystem.
- CVE-2025-0684: bufferoverløb ved manipulation af symboliske links i Reiserfs-filsystemet.
- CVE-2025-0685: bufferoverløb ved manipulation af symboliske links i JFS-filsystemet.
- CVE-2025-0685: bufferoverløb ved manipulation af symboliske links i ROMFS-filsystemet.
- CVE-2025-0689: bufferoverløb ved arbejde med specielt modificeret UDF-partition.
- CVE-2025-0690: bufferoverløb ved modtagelse af specielt udformede data fra tastaturet.
- CVE-2025-1118: omgåelse af Lockdown-isoleringsmodus og udtrækning af tilfældigt hukommelsesindhold gennem udførelse af dump-kommando.
- CVE-2024-45775: mangel på fejlkontrol ved tildeling af hukommelse under parsing af de overførte argumenter kan føre til beskadigelse af IVT (Interrupt Vector Table).
- CVE-2024-45783: adgang via nul-pointer ved montering af en ugyldig HFS+-filystem.
I de fleste Linux-distributioner bruges et lille lag shim, som er digitalt signeret af Microsoft, til verifikation af opstart i UEFI Secure Boot-tilstand. Dette lag verificerer GRUB2 med sin egen certifikat, hvilket giver distributørerne mulighed for ikke at skulle godkende hver opdatering af kerne og GRUB hos Microsoft. Sårbarheder i GRUB2 gør det muligt at udføre sin egen kode efter en vellykket verifikation af shim, men før operativsystemet er indlæst, ved at trænge ind i tillidskæden under aktiv Secure Boot-tilstand og få fuld kontrol over den videre opstartsproces, for eksempel til at indlæse et andet OS, modificere komponenter i operativsystemet og omgå Lockdown-beskyttelsen.
For at blokere sårbarheden uden at tilbagekalde den digitale signatur kan distributionerne anvende mekanismen SBAT (UEFI Secure Boot Advanced Targeting), som understøttes af GRUB2, shim og fwupd i de fleste populære Linux-distributioner. SBAT er udviklet i samarbejde med Microsoft og indebærer tilføjelse af metadata til UEFI-komponenternes eksekverbare filer, som inkluderer oplysninger om producent, produkt, komponent og version. De nævnte metadata signeres digitalt og kan separat inkluderes i lister over tilladte eller forbudte komponenter til UEFI Secure Boot.
SBAT gør det muligt at blokere brugen af den digitale signatur for specifikke versionsnumre af komponenter uden at skulle tilbagekalde nøglerne til Secure Boot. Blokering af sårbarheder gennem SBAT kræver ikke brugen af en liste over tilbagekaldte UEFI-certifikater (dbx), men udføres på niveauet for udskiftning af den interne nøgle til dannelse af signaturer og opdatering af GRUB2, shim og andre boot-artifakter, der leveres af distributionerne. Inden SBAT blev indført, var opdatering af listen over tilbagekaldte certifikater (dbx, UEFI Revocation List) en obligatorisk betingelse for fuld blokering af sårbarheden, da en angriber, uanset hvilken operativsystem der blev brugt, kunne bruge en bootbare enhed med en gammel, sårbar version af GRUB2, signeret med et digitalt certifikat, til at kompromittere UEFI Secure Boot.
Kilde: opennet.ru
