{"id":99320,"date":"2021-03-03T16:22:39","date_gmt":"2021-03-03T14:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot"},"modified":"2021-03-03T16:22:39","modified_gmt":"2021-03-03T14:22:39","slug":"trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","title":{"rendered":"Vulnerabilidades dif\u00edciles de solucionar en GRUB2 que permiten eludir UEFI Secure Boot.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Se ha revelado informaci\u00f3n sobre 8 vulnerabilidades en el cargador GRUB2 que permiten eludir el mecanismo UEFI Secure Boot y lograr la ejecuci\u00f3n de c\u00f3digo no verificado, como la implementaci\u00f3n de malware que opera a nivel de cargador o n\u00facleo. <\/p>\n

Recordemos que en la mayor\u00eda de las distribuciones de Linux, se utiliza una peque\u00f1a capa shim, firmada digitalmente por Microsoft, para la carga verificada en modo UEFI Secure Boot. Esta capa verifica GRUB2 con su propio certificado, lo que permite a los desarrolladores de distribuciones no firmar cada actualizaci\u00f3n del n\u00facleo y de GRUB en Microsoft. Las vulnerabilidades en GRUB2 permiten la ejecuci\u00f3n de c\u00f3digo propio en la etapa posterior a la verificaci\u00f3n exitosa de shim, pero antes de cargar el sistema operativo, infiltr\u00e1ndose en la cadena de confianza mientras el modo Secure Boot est\u00e1 activo y obteniendo control total sobre el proceso de arranque, incluida la carga de otro SO, la modificaci\u00f3n de componentes del sistema operativo y la elusi\u00f3n de la protecci\u00f3n Lockdown. <\/p>\n

Al igual que en el caso de la vulnerabilidad BootHole del a\u00f1o pasado, no es suficiente con actualizar el cargador para bloquear el problema, ya que el atacante, independientemente del sistema operativo utilizado, puede comprometer UEFI Secure Boot utilizando un medio de arranque con una versi\u00f3n antigua y vulnerable de GRUB2 firmada digitalmente. El problema se resuelve solo actualizando la lista de certificados revocados (dbx, UEFI Revocation List), pero en este caso se perder\u00e1 la posibilidad de usar antiguos medios de instalaci\u00f3n de Linux. <\/p>\n

En sistemas con firmware en los que se ha actualizado la lista de certificados revocados, en modo UEFI Secure Boot solo se podr\u00e1n cargar las versiones actualizadas de las distribuciones de Linux. Las distribuciones deber\u00e1n actualizar los instaladores, cargadores, paquetes del n\u00facleo, firmwares fwupd y la capa shim, generando nuevas firmas digitales para ellos. Los usuarios deber\u00e1n actualizar las im\u00e1genes de instalaci\u00f3n y otros medios de arranque, y adem\u00e1s cargar la lista de certificados revocados (dbx) en el firmware UEFI. Hasta que se actualice dbx en UEFI, el sistema seguir\u00e1 siendo vulnerable independientemente de las actualizaciones instaladas en el SO. El estado de la remediaci\u00f3n de vulnerabilidades se puede evaluar en estas p\u00e1ginas: Ubuntu, SUSE, RHEL, Debian. <\/p>\n

Para abordar los problemas que surgen con la distribuci\u00f3n de certificados revocados, se planea implementar en el futuro un mecanismo SBAT (UEFI Secure Boot Advanced Targeting), cuyo soporte ha sido integrado en GRUB2, shim y fwupd. A partir de las siguientes actualizaciones, se utilizar\u00e1 en lugar de la funcionalidad proporcionada por el paquete dbxtool. SBAT se ha desarrollado en colaboraci\u00f3n con Microsoft e implica la adici\u00f3n de metadatos a los archivos ejecutables de los componentes UEFI, que incluyen informaci\u00f3n sobre el fabricante, el producto, el componente y la versi\u00f3n. Estos metadatos se firman digitalmente y pueden ser incluidos adicionalmente en listas de componentes permitidos o prohibidos para UEFI Secure Boot. As\u00ed, SBAT permitir\u00e1 manipular los n\u00fameros de versi\u00f3n de los componentes al revocar, sin necesidad de regenerar las claves para Secure Boot o crear nuevas firmas para el n\u00facleo, shim, grub2 y fwupd. <\/p>\n

Vulnerabilidades detectadas: <\/p>\n