Kritische Schwachstelle im GRUB2-Bootloader, die UEFI Secure Boot umgehen kann

Im GRUB2-Bootloader 35 Schwachstellen identifiziert, auf deren Grundlage mehrere Angriffsszenarien entwickelt wurden, die es ermöglichen, AES-Schlüssel aus der Enklave zu extrahieren oder die Ausführung eigenen Codes durch das Schaffen von Bedingungen für die Beschädigung des Speicherinhalts zu organisieren. 8 Schwachstellen. Die gefährlichste ein Problem (CVE-2020-10713), die den Codenamen BootHole trägt, ermöglicht es, den UEFI Secure Boot-Mechanismus zu umgehen und nicht verifiziertes Malware zu installieren. Ein besonderes Merkmal dieser Schwachstelle ist, dass ein einfaches Update von GRUB2 nicht ausreicht, da ein Angreifer ein bootfähiges Medium mit einer alten, verwundbaren Version verwenden kann, die durch eine digitale Signatur verifiziert wurde. Der Angreifer kann den Verifizierungsprozess nicht nur von Linux, sondern auch von anderen Betriebssystemen kompromittieren, einschließlich Windows.

Das Problem kann nur durch ein Update des Widerrufslisten (dbx, UEFI Widerrufsliste) gelöst werden, aber in diesem Fall wird die Möglichkeit zur Verwendung älterer Installationsmedien mit Linux verloren gehen. Einige Hardwarehersteller haben bereits aktualisierte Widerrufslisten in ihre Firmware integriert; auf solchen Systemen wird im UEFI Secure Boot-Modus nur der Zugang zu aktualisierten Versionen von Linux-Distributionen möglich sein.

Um die Sicherheitsanfälligkeit in den Distributionen zu beheben, müssen auch die Installer, Bootloader, Kernel-Pakete, fwupd-Firmware und die shim-Schicht aktualisiert werden, wobei neue digitale Signaturen erstellt werden. Nutzer müssen die Installationsabbilder und andere bootfähige Medien aktualisieren und die Liste der widerrufenen Zertifikate (dbx) in die UEFI-Firmware laden. Bis dbx in der UEFI aktualisiert wird, bleibt das System anfällig, unabhängig von installierten Updates im Betriebssystem.

Sicherheitsanfälligkeit durch einem Pufferüberlauf, der ausgenutzt werden kann, um beliebigen Code im Bootprozess auszuführen.
Die Anfälligkeit tritt beim Parsen des Inhalts der Konfigurationsdatei grub.cfg auf, die normalerweise im ESP (EFI System Partition) abgelegt ist und von einem Angreifer mit Administratorrechten bearbeitet werden kann, ohne die Integrität der signierten ausführbaren Dateien von shim und GRUB2 zu beeinträchtigen. Aufgrund von Fehlers Im Code des Konfigurationsparsers gab der Handler für fatale Parsierungsfehler YY_FATAL_ERROR lediglich eine Warnung aus und beendete das Programm nicht. Das Risiko der Verwundbarkeit wird durch die Notwendigkeit eines privilegierten Zugangs zum System gemindert. Dennoch könnte das Problem für die Implementierung versteckter Rootkits relevant werden, falls physischer Zugang zur Hardware besteht (insbesondere wenn das Booten von einem eigenen Träger möglich ist).

In den meisten Linux-Distributionen wird zur verifizierten Boot-Prozess eine kleine shim-Schicht, die digital von Microsoft signiert ist, verwendet. Diese Schicht verifiziert GRUB2 mit ihrem eigenen Zertifikat, was es den Entwicklern der Distributionen ermöglicht, nicht jedes Kernel- oder GRUB-Update bei Microsoft zu signieren. Die Verwundbarkeit erlaubt es, durch Änderung des Inhalts von grub.cfg eigenen Code nach erfolgreicher Verifizierung des Shim auszuführen, jedoch vor dem Booten des Betriebssystems. Dadurch wird in die Vertrauenskette eingegriffen, während der Secure Boot aktiv ist, und vollständige Kontrolle über den weiteren Bootprozess erlangt, einschließlich des Bootens eines anderen Betriebssystems, der Modifikation von Betriebssystemkomponenten und der Umgehung von Schutzmaßnahmen. Lockdown..

Weitere Schwachstellen in GRUB2:

• CVE-2020-14308 — Bufferüberlauf aufgrund fehlender Größenüberprüfung des zugewiesenen Speichers in grub_malloc;
• CVE-2020-14309 — Ganzzahlüberlauf in grub_squash_read_symlink, der zu einer Datenüberschreibung außerhalb des zugewiesenen Puffers führen kann;
• CVE-2020-14310 — Ganzzahlüberlauf in read_section_from_string, der zu einer Datenüberschreibung außerhalb des zugewiesenen Puffers führen kann;
• CVE-2020-14311 — Ganzzahlüberlauf in grub_ext2_read_link, der zu einer Datenüberschreibung außerhalb des zugewiesenen Puffers führen kann;
• CVE-2020-15705 — Erlaubt das Laden von nicht signierten Kernen bei direkter Boot-Option im Secure Boot-Modus ohne shim-Schicht;
• CVE-2020-15706 — Zugriff auf bereits freigegebenen Speicher (use-after-free) bei der Laufzeitüberschreibung von Funktionen;
• CVE-2020-15707 — Ganzzahlüberlauf im Handler für die Größe von initrd.

Paketupdates mit Fixes wurden veröffentlicht für Debian, Ubuntu, RHEL und SUSE. Für GRUB2 wurde angeboten Patch-Satz.

Quelle: opennet.ru