{"id":99320,"date":"2021-03-03T16:22:39","date_gmt":"2021-03-03T14:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot"},"modified":"2021-03-03T16:22:39","modified_gmt":"2021-03-03T14:22:39","slug":"trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","title":{"rendered":"Sv\u00e6re s\u00e5rbarheder i GRUB2, der g\u00f8r det muligt at omg\u00e5 UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Oplysninger om 8 s\u00e5rbarheder i bootloaderen GRUB2 er blevet offentliggjort, som g\u00f8r det muligt at omg\u00e5 UEFI Secure Boot og k\u00f8re ikke-verificeret kode, eksempelvis ved at implementere malware, der opererer p\u00e5 bootloader- eller kerne-niveau. <\/p>\n

Vi minder om, at en lille shim-lag, der er verificeret med en digital signatur fra Microsoft, anvendes til verificeret boot i UEFI Secure Boot-tilstand i de fleste Linux-distributioner. Denne shim verificerer GRUB2 med sin egen certifikat, hvilket g\u00f8r det muligt for udviklere af distributioner ikke at skulle signere hver opdatering af kerne og GRUB hos Microsoft. S\u00e5rbarheder i GRUB2 g\u00f8r det muligt at udf\u00f8re sin egen kode efter en vellykket verificering af shim, men f\u00f8r operativsystemet bliver indl\u00e6st, ved at tr\u00e6nge ind i tillidk\u00e6den, mens Secure Boot er aktiv, og dermed f\u00e5 fuld kontrol over den videre boot-proces, herunder indl\u00e6sning af et andet operativsystem, modificering af komponenter i operativsystemet og omg\u00e5else af Lockdown-beskyttelsen. <\/p>\n

Som med den tidligere BootHole-s\u00e5rbarhed er det ikke tilstr\u00e6kkeligt at opdatere bootloaderen for at blokere problemet, da en angriber, uanset hvilket operativsystem der anvendes, kan bruge et bootmedium med en gammel s\u00e5rbar version af GRUB2, der er verificeret med en digital signatur, til at kompromittere UEFI Secure Boot. Problemet l\u00f8ses kun ved at opdatere listen over tilbagekaldte certifikater (dbx, UEFI Revocation List), men i dette tilf\u00e6lde vil muligheden for at bruge gamle installationsmedier med Linux g\u00e5 tabt. <\/p>\n

P\u00e5 systemer med firmware, der har opdateret listen over tilbagekaldte certifikater, vil det kun v\u00e6re muligt at indl\u00e6se opdaterede builds af Linux-distributioner i UEFI Secure Boot-tilstand. Distributioner skal opdatere deres installat\u00f8rer, bootloaders, kernepakker, fwupd-firmware og shim-lag, og generere nye digitale signaturer til disse. Brugere skal opdatere installationsbilleder og andre bootmedier samt indl\u00e6se listen over tilbagekaldte certifikater (dbx) i UEFI-firmware. Inden dbx er opdateret i UEFI, forbliver systemet s\u00e5rbart, uanset om opdateringer er installeret i operativsystemet. Status for udbedring af s\u00e5rbarheder kan vurderes p\u00e5 f\u00f8lgende sider: Ubuntu, SUSE, RHEL, Debian. <\/p>\n

For addressing issues that arise from the distribution of revoked certificates, a mechanism called SBAT (UEFI Secure Boot Advanced Targeting) is planned to be utilized in the future. Support for this mechanism has been implemented for GRUB2, shim, and fwupd, and starting with the next updates, it will be used instead of the functionality provided by the dbxtool package. SBAT has been developed in collaboration with Microsoft and involves adding new metadata to the executable files of UEFI components, which includes information about the manufacturer, product, component, and version. The specified metadata is digitally signed and can additionally be included in the lists of allowed or denied components for UEFI Secure Boot. Thus, SBAT will allow for manipulating version numbers of components upon revocation without the need to regenerate keys for Secure Boot and without forming new signatures for the kernel, shim, grub2, and fwupd. <\/p>\n

Identificerede s\u00e5rbarheder: <\/p>\n