{"id":104320,"date":"2022-06-08T15:36:43","date_gmt":"2022-06-08T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot"},"modified":"2022-06-08T15:36:43","modified_gmt":"2022-06-08T13:36:43","slug":"uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","title":{"rendered":"S\u00e5rbarheder i GRUB2, der muligg\u00f8r omg\u00e5else af UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Syv s\u00e5rbarheder er blevet rettet i GRUB2 bootloaderen, som muligg\u00f8r omg\u00e5else af UEFI Secure Boot og f\u00e5r ikke-valideret kode til at k\u00f8re, for eksempel ved at integrere malware, der fungerer p\u00e5 niveau med bootloaderen eller kernen. Der n\u00e6vnes desuden en s\u00e5rbarhed i shim-laget, som ogs\u00e5 tillader omg\u00e5else af UEFI Secure Boot. Gruppen af s\u00e5rbarheder har f\u00e5et kodeordet Boothole 3, ligesom tidligere lignende problemer opdaget i bootloaderen. <\/p>\n

For at l\u00f8se problemerne i GRUB2 og shim kan distributioner anvende SBAT-mekanismen (UEFI Secure Boot Advanced Targeting), som underst\u00f8ttes i GRUB2, shim og fwupd. SBAT er udviklet i samarbejde med Microsoft og indeb\u00e6rer tilf\u00f8jelse af metadata til de eksekverbare filer af UEFI-komponenter, der indeholder oplysninger om producent, produkt, komponent og version. De n\u00e6vnte metadata signeres digitalt og kan separat inkluderes i lister over tilladte eller forbudte komponenter til UEFI Secure Boot. <\/p>\n

I de fleste Linux-distributioner anvendes et lille shim-lag, der er digitalt signeret af Microsoft, til verificeret boot i UEFI Secure Boot-tilstand. Dette lag verificerer GRUB2 med sit eget certifikat, hvilket g\u00f8r det muligt for distributionsudviklere ikke at skulle signere hver opdatering af kernen og GRUB i Microsoft. S\u00e5rbarheder i GRUB2 tillader eksekvering af egen kode efter en vellykket verifikation af shim, men f\u00f8r operativsystemet er indl\u00e6st, ved at tr\u00e6nge ind i tillidsk\u00e6den under aktiv Secure Boot-tilstand og f\u00e5 fuld kontrol over den fortsatte bootproces, herunder nedl\u00e6sning af et andet OS, \u00e6ndring af komponenter i operativsystemet og omg\u00e5else af Lockdown-beskyttelsen. <\/p>\n

For at l\u00f8se problemerne i bootloaderen m\u00e5 distributioner skabe nye interne digitale signaturer og opdatere installat\u00f8rer, bootloadere, kernepakker, fwupd-firmware og shim-laget. F\u00f8r implementeringen af SBAT var opdatering af listen over tilbagekaldte certifikater (dbx, UEFI Revocation List) en foruds\u00e6tning for fuldst\u00e6ndig at blokere s\u00e5rbarheden, da angriberen, uanset hvilket operativsystem der anvendes, kunne kompromittere UEFI Secure Boot ved at bruge et bootmedie med en gammel s\u00e5rbar version af GRUB2, der var digitalt signeret. <\/p>\n

I stedet for at tilbagekalde signaturen tillader SBAT at blokere dens anvendelse for specifikke versionsnumre af komponenter uden at skulle tilbagekalde n\u00f8glerne til Secure Boot. Blokering af s\u00e5rbarheder via SBAT kr\u00e6ver ikke brug af listen over tilbagekaldte UEFI-certifikater (dbx), og sker p\u00e5 niveauet for udskiftning af den interne n\u00f8gle til dannelse af signaturer samt opdatering af GRUB2, shim og andre leverede distributionsboot artefakter. I \u00f8jeblikket er SBAT-support allerede tilf\u00f8jet i de fleste popul\u00e6re Linux-distributioner. <\/p>\n

Identificerede s\u00e5rbarheder: <\/p>\n