6 haavatust GRUB2 käivitajades, mis võimaldavad mööduda UEFI Secure Bootist

Avaldatud on plekkide komplekt, mis kõrvaldab 6 haavatust GRUB2 käivitajas, millest enamik põhjustab pärast vabastamist mälu juurde pääsemist (use-after-free). Potentsiaalselt tuvastatud probleemid võivad võimaldada UEFI Secure Booti tõendi laadimise mehhanismi möödaviimist. Haavatuste kõrvaldamise staatusi jaotistes saab hinnata järgmistelt lehtedelt: Debian, Ubuntu, SUSE, RHEL, Arch ja Fedora. GRUB2 probleemide kõrvaldamiseks ei piisa lihtsalt paketi uuendamisest; on vajalik ka uute sisemiste digitaalsete allkirjade vormistamine ning installatsioonide, käivitajate, kerneli pakettide, fwupd-firmware’ide ja shim-südamike uuendamine.

Tuletatud haavatavused:

• CVE-2025-61661 — mälu piire ületav kirjutamine funktsioonis grub_usb_get_string(), mida saab kasutada UTF-8 ja UTF-16 kodeerimist reguleerivate stringide töötlemisel USB-seadmest. Probleem tuleneb sellest, et vahemälu eraldati stringi pikkuse põhjal, mis määrati USB-seadmest saadetud esimeses sõnumis, arvestades kodeerimise muutmise käigus järgnevate USB-seadmest lugemise toimingute põhjal arvutatud pikkust. Seetõttu saab rünnaku jaoks kasutada muudetud USB-seadet, mis algselt tagastab alandatud suuruse.
• CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — käskude «normal», «normal_exit», «net_set_vlan» ja «gettext» käsitlejate puudumine nende „normal“, „net“ ja „gettext“ moodulite laadimise lõpetamise ajal, mis loob tingimused mälu juurde pääsemiseks pärast vabastamist (use-after-free) nende vastavate moodulite laadimise lõpetamise ajal. Sarnased haavatused leiti ka käskude «functional_test» ja «all_functional_test» puhul, kuid neile ei omistatud CVE-identifikaatoreid, kuna need käsud on testimise raamatukogu osa ja ei tohiks olla töös räägitud kogumites.
• CVE-2025-54771 — viidete arvestamise viga „fs“ struktuuride funktsioonis grub_file_close(), mis viib mälu juurde pääsemiseni pärast vabastamist (use-after-free).

In most Linux distributions, a small shim layer, signed by Microsoft, is used for verified boot in UEFI Secure Boot mode. This shim verifies GRUB2 with its own certificate, allowing distribution developers to avoid signing every kernel and GRUB update with Microsoft. Vulnerabilities in GRUB2 can enable code execution after the successful verification of the shim, but before the operating system is loaded, infiltrating the trust chain while Secure Boot is active and gaining full control over the boot process, allowing for loading another OS, modifying operating system components, and bypassing Lockdown protection.

Kuna digitaalallkirja tühistamiseta haavatavuste blokeerimiseks võivad jaotised kasutada mehhanismi SBAT (UEFI Secure Boot Advanced Targeting), mille tugi on rakendatud GRUB2, shim ja fwupd enamikes tuntud Linuxi jaotustes. SBAT on välja töötatud koostöös Microsoftiga ja hõlmab UEFI komponente sisaldavate esitamisfailide täiendavate metaandmete lisamist, mis sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Loomulikult alla kirjutatud metaandmed võivad eraldi kuuluda lubatud või keelatud komponentide loenditesse UEFI Secure Boot jaoks.

SBAT võimaldab blokeerida digitaalallkirja kasutamise üksikute komponentide versioonide numbrite jaoks ilma Secure Booti võtmete tühistamise vajaduseta. Haavatavuste blokeerimine SBAT kaudu ei nõua UEFI tühistatud sertifikaatide (dbx) loendi kasutamist, vaid toimub sisemise võtme vahetuse tasemel allkirjade genereerimise ja GRUB2, shim ning teiste jaotustelt tarnitud laadimisartefaktide uuendamise jaoks. Enne SBAT'i rakendamist oli tühistatud sertifikaatide (dbx, UEFI Revocation List) loendi uuendamine täieliku haavatavuse blokeerimise kohustuslik tingimus, kuna ründaja võis, olenemata kasutatavast operatsioonisüsteemist, UEFI Secure Booti kompromiteerida vanade haavatavate GRUB2 versioonidega, mis olid digitaalse allkirjaga allkirjastatud.

Allikas: opennet.ru