{"id":119554,"date":"2024-08-21T09:43:00","date_gmt":"2024-08-21T07:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot"},"modified":"2024-08-21T09:43:00","modified_gmt":"2024-08-21T07:43:00","slug":"oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot","title":{"rendered":"En fejl i opdateringen til Windows blokerede opstart af Linux ved brug af UEFI Secure Boot.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I det opdatering, som Microsoft udsendte tirsdag til Windows-operativsystemet, er der opdaget et problem, der forhindrer opstart af Linux-systemer, der er installeret parallelt med Windows p\u00e5 samme computer. Problemet skyldes en \u00e6ndring, der sigter mod at rette en gammel s\u00e5rbarhed (CVE-2022-2601) i GRUB-bootloaderen, som blev rettet i 2022. Microsoft har endnu ikke offentliggjort en erkl\u00e6ring om det opst\u00e5ede problem og har ikke kommenteret det yderligere. <\/p>\n
I notatet til \u00e6ndringen blev det n\u00e6vnt, at rettelsen, der muligg\u00f8r implementeringen af den nye SBAT-politik (UEFI Secure Boot Advanced Targeting), vil blive anvendt til systemer, der kun bruger Windows, og ikke vil p\u00e5virke konfigurationer med dual boot (\u00e6ndringen blokerede muligheden for at bruge bootbilleder med den gamle GRUB for at omg\u00e5 Secure Boot p\u00e5 systemer, hvor kun Windows er installeret). Det blev ogs\u00e5 angivet, at \u00e6ndringen kan f\u00f8re til opstartsproblemer med iso-billeder fra gamle systemer, der leveres med en s\u00e5rbar version af GRUB. I praksis har problemerne ogs\u00e5 vist sig for brugere af dual boot-systemer, der bruger nye Linux-distributioner som Ubuntu 24.04 og Debian 12.6, hvor s\u00e5rbarheden i GRUB allerede var blevet rettet for l\u00e6nge siden. <\/p>\n
Problemet viser sig ved, at indl\u00e6sningen stopper med beskeden \u201eVerifying shim SBAT data failed: Security Policy Violation. Noget er g\u00e5et alvorligt galt: SBAT self-check failed: Security Policy Violation\u201c. For at genskabe funktionaliteten anbefales det at slette de installerede SBAT-data i UEFI, hvilket kan g\u00f8res ved at deaktivere Secure Boot i firmwaren, starte en ny Linux-distribution med st\u00f8tte til UEFI Secure Boot, for eksempel Ubuntu, og udf\u00f8re kommandoen \u201emokutil \u2014set-sbat-policy delete\u201c i konsollen. Derefter skal Linux-distributionen genstartes for at installere den korrekte SBAT-politik. Efter dette kan Secure Boot-tilstand genaktiveres i firmwaren. <\/p>\n
SBAT-mekanismen blev udviklet af Red Hat i samarbejde med Microsoft for at blokere s\u00e5rbarheder i GRUB-bootloaderen og shim-laget uden at tilbagekalde digitale signaturer. SBAT foruds\u00e6tter, at der tilf\u00f8jes yderligere metadata til de eksekverbare filer i UEFI-komponenter, som inkluderer oplysninger om producent, produkt, komponent og version. De specifikke metadata er digitalt signeret og kan separat inkluderes i lister over tilladte eller blokerede komponenter for UEFI Secure Boot. SBAT muligg\u00f8r blokering af brugen af digitale signaturer for specifikke versionnumre af komponenter uden behov for at tilbagekalde n\u00f8gler til Secure Boot. <\/p>\n
Blokering af s\u00e5rbarheder gennem SBAT kr\u00e6ver ikke brugen af UEFI tilbagekaldte certifikatlister (dbx), men sker p\u00e5 niveauet for at erstatte den interne n\u00f8gle til dannelse af signaturer og opdatering af GRUB2, shim og andre leverede bootartefakter. F\u00f8r implementeringen af SBAT var opdatering af listen over tilbagekaldte certifikater (dbx, UEFI Revocation List) en foruds\u00e6tning for fuldst\u00e6ndig blokering af s\u00e5rbarheden, da en angriber, uanset hvilken styresystem der blev brugt, kunne bruge et bootmedie med en gammel s\u00e5rbar version af GRUB2, der var digitalt signeret, til at kompromittere UEFI Secure Boot. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"