GRUB2 haavatavused, mis võimaldavad UEFI Secure Boot'i ületada

GRUB2 laadijat on parandatud 7 haavatavust, mis võimaldavad mööda minna UEFI Secure Boot mehhanismist ja käivitada kinnitamata koodi, näiteks võimaldavad nad pahavara sisestamist laadija või tuuma tasandil. Lisaks on tuvastatud üks haavatavus shim kihis, mis samuti võimaldab mööda minna UEFI Secure Boot-ist. Haavatavuste rühm on saanud koodnimeks Boothole 3, sarnaselt varem tuvastatud probleemide tõttu laadijas.

GRUB2 ja shim probleemide lahendamiseks saavad distributsioonid kasutada SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi, mille tootmist on toetatud GRUB2, shim ja fwupd jaoks. SBAT on välja töötatud koos Microsoftiga ja see eeldab UEFI komponentide täitmisfailidesse täiendavate metaandmete lisamist, mis sisaldavad tootja, toote, komponendi ja versiooni teavet. Need metaandmed on digitaalsete allkirjadega allkirjastatud ja neid saab eraldi lisada lubatud või keelatud komponentide nimekirjadele UEFI Secure Boot jaoks.

Enamikus Linuxi jaotustes kasutatakse UEFI Secure Booti kontrollimiseks väikest shim-lahendust, mille Microsoft on digitaalselt allkirjastanud. See lahendus valideerib GRUB2 oma sertifikaadiga, mis võimaldab jaotuste arendajatel mitte kinnitada iga kernelivärskendust ja GRUBi Microsoftis. GRUB2 haavatavused võimaldavad käivitada oma koodi shim'i eduka kontrollimise etapis, kuid enne operatsioonisüsteemi laadimist, takistades usaldusõiguse ahelas toime tulekut aktiivse Secure Booti režiimis ning saades täieliku kontrolli edasi laadimisprotsessi üle, sealhulgas teise operatsioonisüsteemi laadimist, operatsioonisüsteemi komponentide muutmist ja Lockdowni kaitse ületamist.

Laadija probleemide lahendamiseks peavad distributsioonid looma uusi sisemisi digitaalseid allkirju ja uuendama installereid, laadijaid, tuumapakette, fwupd-firmware'e ja shim kihti. Enne SBAT kasutuselevõttu oli tagasikutsutud sertifikaatide nimekirja (dbx, UEFI Revocation List) uuendamine kohustuslik, et täielikult blokeerida haavatavus, kuna ründaja, sõltumata kasutatavast operatsioonisüsteemist, sai UEFI Secure Boot-i kompromitteerida, kasutades vanemat haavatavat GRUB2 versiooni, mille oli allkirjastanud digitaalne allkiri.

SBAT võimaldab blokeerida allkirja kasutamise erinevate komponentide versiooninumbrite jaoks, ilma et oleks vaja Secure Boot võtmeid tagasi kutsuda. Haavatavuste blokeerimine SBAT kaudu ei nõua UEFI tagasikutsutud sertifikaatide nimekirja (dbx) kasutamist, vaid toimub sisemise võtme asendamise tasemel, et luua allkirjad ja uuendada GRUB2, shim ja muid distributsioonide poolt tarnitavaid laadimisartefakte. Hetkel on SBAT-i toega liitunud enamik populaarseid Linuxi distributsioone.

Tuletatud haavatavused:

• CVE-2021-3696, CVE-2021-3695 – kuhja ülevool, mis tekib spetsiaalselt vormistatud PNG-piltide töötlemisel, mida teoreetiliselt saab kasutada ründaja kodeerimise täitmise ja UEFI Secure Booti ümbersuunamise korraldamiseks. Probleem on raskesti ekspluateeritav, kuna funktsionaalse eksploidiga loomine nõuab paljude tegurite arvestamist ja teadaolevaid andmeid mälu korraldusest.
• CVE-2021-3697 – bufrist madalamate piiride ülevool (buffer underflow) JPEG-piltide töötlemise koodis. Probleemi ekspluateerimiseks on vajalik teada mälu korraldust ning keerukus on umbes sama tase kui PNG-iga seotud probleem (CVSS 7.5).
• CVE-2022-28733 – täisarvu ülevool funktsioonis grub_net_recv_ip4_packets(), mis võimaldab mõjutada parameetrit rsm->total_len spetsiaalselt vormistatud IP-paketi saatmise kaudu. Probleem on märgitud kõige ohtlikumaks esitletud haavatavuseks (CVSS 8.1). Eduka ärakasutamise korral võimaldab haavatavus kirjutada andmeid puutest välja, eraldades teadlikult väiksema suuruse mälu.
• CVE-2022-28734 – ühte baidi bufrist ülevool spetsiaalselt vormistatud HTTP-pealkirjade töötlemisel. Probleem võib viia GRUB2 metainfode rikutuseni (null-baiti kirjutamine kohe pärast puutepiiri lõppu) spetsiaalselt vormistatud HTTP-päringute analüüsimisel.
• CVE-2022-28735 – probleem shim_locki tõendajas, mis võimaldab laadida faile, mis ei ole seotud tuumaga. Haavatavust saab kasutada UEFI Secure Booti režiimis allkirjastamata digitaalsete tuuma moodulite või kontrollimata koodi laadimiseks.
• CVE-2022-28736 – juurdepääs juba vabastatud mälupiirkonnale funktsioonis grub_cmd_chainloader() läbi chainloaderi käsu korduvkasutamise, mida kasutatakse GRUB2-s toetamatute operatsioonisüsteemide laadimiseks. Ekspluateerimine võib viia ründava koodi täitmiseni, kui häkker suudab tuvastada GRUB2 mälu jaotuse omadused.
• CVE-2022-28737 – bufrist ülevool shim kihis, mis tekib funktsioonis handle_image() spetsiaalselt vormistatud EFI-piltide laadimise ja täitmise käigus.

Allikas: opennet.ru