Kaks haavatavust GRUB2-s, mis võimaldavad UEFI Secure Boot kaitsest mööda hiilida

Avatud on kaks haavatavust GRUB2 käivitajas, mis võivad võimaldada koodi täitmist spetsiaalselt kujundatud fondide ja teatud Unicode-järjendite töötlemise kaudu. Haavatavusi saab kasutada UEFI Secure Booti kontrollimise mehhanismi ületamiseks.

Tuletatud haavatavused:

• CVE-2022-2601 — puhvrivoolu ületamine funktsioonis grub_font_construct_glyph() spetsiaalselt kujundatud pf2 formaadis fondide töötlemisel, mis tuleneb vale max_glyph_size parameetri arvutamisest ja mälu eraldamise piirkonna määramisest, mis on selgelt väiksem kui gglyphide mahutamiseks vajalik.
• CVE-2022-3775 — mälu eraldatud ala ületamine teatud Unicode-järjendite joonistamisel spetsiaalselt kujundatud fondiga. Probleem esineb fondide töötlemise koodis ja see on põhjustatud sobivuse kontrollide puudumisest glüüfi laius ja kõrgus olemasoleva bitikaardi suuruse suhtes. Ründaja võib sobitada sisendi nii, et see põhjustab andmete saba kirjutamise eraldatud puhvri piiridest välja. T märgitakse, et vaatamata haavatavuse ärakasutamise keerukusele ei saa välistada koodi täitmise saavutamist.

Parandus on avaldatud plaastrina. Haavatavuste lahendamise staatus jaotustes on saadaval järgmistele lehtedele: Ubuntu, SUSE, RHEL, Fedora, Debian. GRUB2 probleemide lahendamiseks pole lihtsalt piisav paketika uuendamine, vaid vajatakse ka uusi sise digitaalset allkirjastamist ja installeride, laadijate, kernelipakettide, fwupd-firmware ja shim-lahenduse uuendamist.

Enamikus Linuxi jaotustes kasutatakse UEFI Secure Booti kontrollimiseks väikest shim-lahendust, mille Microsoft on digitaalselt allkirjastanud. See lahendus valideerib GRUB2 oma sertifikaadiga, mis võimaldab jaotuste arendajatel mitte kinnitada iga kernelivärskendust ja GRUBi Microsoftis. GRUB2 haavatavused võimaldavad käivitada oma koodi shim'i eduka kontrollimise etapis, kuid enne operatsioonisüsteemi laadimist, takistades usaldusõiguse ahelas toime tulekut aktiivse Secure Booti režiimis ning saades täieliku kontrolli edasi laadimisprotsessi üle, sealhulgas teise operatsioonisüsteemi laadimist, operatsioonisüsteemi komponentide muutmist ja Lockdowni kaitse ületamist.

Kuna digitaalallkirja tühistamiseta haavatavuste blokeerimiseks võivad jaotised kasutada mehhanismi SBAT (UEFI Secure Boot Advanced Targeting), mille tugi on rakendatud GRUB2, shim ja fwupd enamikes tuntud Linuxi jaotustes. SBAT on välja töötatud koostöös Microsoftiga ja hõlmab UEFI komponente sisaldavate esitamisfailide täiendavate metaandmete lisamist, mis sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Loomulikult alla kirjutatud metaandmed võivad eraldi kuuluda lubatud või keelatud komponentide loenditesse UEFI Secure Boot jaoks.

SBAT võimaldab blokeerida digitaalallkirja kasutamise üksikute komponentide versioonide numbrite jaoks ilma Secure Booti võtmete tühistamise vajaduseta. Haavatavuste blokeerimine SBAT kaudu ei nõua UEFI tühistatud sertifikaatide (dbx) loendi kasutamist, vaid toimub sisemise võtme vahetuse tasemel allkirjade genereerimise ja GRUB2, shim ning teiste jaotustelt tarnitud laadimisartefaktide uuendamise jaoks. Enne SBAT'i rakendamist oli tühistatud sertifikaatide (dbx, UEFI Revocation List) loendi uuendamine täieliku haavatavuse blokeerimise kohustuslik tingimus, kuna ründaja võis, olenemata kasutatavast operatsioonisüsteemist, UEFI Secure Booti kompromiteerida vanade haavatavate GRUB2 versioonidega, mis olid digitaalse allkirjaga allkirjastatud.

Allikas: opennet.ru