Die Entwickler von Fedora Linux haben die Situation erklärt, die mit dem Ablauf des Microsoft-Zertifikats Ende Juni verbunden ist, das zur digitalen Signierung der Shim-Schicht verwendet wird, die für das verifizierte Booten von Linux-Distributionen im UEFI Secure Boot-Modus benötigt wird. Der Übergang zu einem neuen Zertifikat soll für die Nutzer unbemerkt verlaufen, da der tatsächliche Ablauf des Zertifikats nur dazu führen wird, dass es nicht mehr für die Erstellung neuer Signaturen verwendet werden kann. Während des Bootvorgangs im UEFI Secure Boot wird die Gültigkeit des Zertifikats nicht überprüft und ist nur relevant für den Widerruf kompromittierter Zertifikate.
Bestehende Systeme, die das shim-Update nicht installiert haben, setzen das Booten fort, solange der öffentliche Schlüssel des Zertifikats nicht aus der Firmware entfernt oder auf die Liste der widerrufenen UEFI-Zertifikate (DBX) gesetzt wird. Nur die Bootschicht shim wird mit dem Schlüssel von Microsoft signiert, in der sich der öffentliche Schlüssel der Distribution befindet, der zur Signierung der geladenen Komponenten wie dem GRUB2-Bootloader, dem Linux-Kernel, den Kernel-Modulen und den Prozessen, die beim Booten verwendet werden, wie fwupd, angewendet wird. Dieser Ansatz erlaubt es Microsoft, nur Änderungen an der Shim-Schicht zu signieren und die Verifizierung des Bootprozesses der Distribution eigenständig zu gewährleisten.
Das Microsoft-Zertifikat zur Signierung von Drittanbieter-Firmware für UEFI Secure Boot ist seit 2011 in Kraft. Im Jahr 2023 wurde ein neues Zertifikat generiert, das ab Oktober 2025 für die Erstellung von Signaturen verwendet wird. Das aktualisierte shim, das mit mehreren Schlüsseln signiert ist, um maximale Kompatibilität mit Hardware zu gewährleisten, wurde bereits im Fedora Rawhide-Repository hinzugefügt, auf dessen Grundlage das Release Fedora 45 erstellt wird (es kann sowohl auf älteren Firmwaren ohne den öffentlichen Schlüssel des neuen Zertifikats als auch auf Firmwaren ohne den öffentlichen Schlüssel des alten Zertifikats verwendet werden).
Obwohl das Ablaufen des Microsoft-Zertifikats die Funktionalität des Bootvorgangs nicht beeinträchtigen sollte, empfehlen die Fedora-Entwickler den Benutzern, die DB mit Schlüssel für Secure Boot zu aktualisieren, sobald neue Firmware-Versionen für ihre Hardware verfügbar sind. Um festzustellen, ob das System im UEFI Secure Boot-Modus gestartet wurde, kann der Befehl „mokutil —sb-state“ verwendet werden, während der Befehl „mokutil —db —short“ eine Liste der in der Firmware vorhandenen öffentlichen Schlüssel anzeigt. Um die Schlüssel anzuzeigen, mit denen die shim-Schicht signiert ist, kann der Befehl „sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi“ ausgeführt werden, nachdem das Paket pesign installiert wurde. Um auf verfügbare Firmware-Updates zu prüfen und diese zu installieren, kann der Befehl „sudo fwupdmgr update“ ausgeführt werden.
Die nächste Version der shim-Schicht wird nur mit einem neuen Microsoft-Zertifikat signiert, und ein Firmware-Update ist erforderlich, um die Systeme auf diese Änderung vorzubereiten. Das Update von shim wird veröffentlicht, wenn Sicherheitsanfälligkeiten und schwerwiegende Fehler festgestellt werden, was in einem Monat oder auch in einem Jahr geschehen kann. Seit der Einführung von shim im Projekt wurden kritische Sicherheitsanfälligkeiten entdeckt, wobei der letzte Bericht über Sicherheitsprobleme mit shim erst vor wenigen Tagen veröffentlicht wurde.
Im Bericht werden zwei kürzlich entdeckte Schwachstellen, CVE-2026-8863 und
CVE-2026-10797, erwähnt, die es ermöglichen, eigenen Code früh im Bootvorgang auszuführen, bevor die Kontrolle an das Betriebssystem übergeben wird, die UEFI Secure Boot-Schutzmaßnahmen zu umgehen und das Booten von unvertrauenswürdig signierten Kernel-Komponenten zu ermöglichen. Die Probleme betreffen shim-Versionen bis einschließlich 0.9, die vor 2016 erstellt wurden. Veraltete Systeme wie
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 und openSUSE mit shim 0.9 sind von Angriffen betroffen. Shim-Schichten bis einschließlich Version 0.9 wurden in die Datenbank für zurückgezogene digitale Signaturen DBX (UEFI Forbidden Signature Database) aufgenommen und können im Falle eines DBX-Updates im System nicht mehr im UEFI Secure Boot-Modus verwendet werden.
Quelle: opennet.ru
