Windowsi uuendamise viga takistas Linuxi laadimist UEFI Secure Booti kasutamisel

Microsofti välja antud Windowsi opsüsteemi uuenduses, mis ilmus teisipäeval, tuvastati probleem, mis takistab Linuxi süsteemide käivitamist, mis on installitud samal arvutil koos Windowsiga. Probleemi põhjustab parandamine, mis on suunatud vanade haavatavuste (CVE-2022-2601) kõrvaldamisele GRUBi laadijast, mis parandati 2022. aastal. Microsoft ei ole seni avaldanud mingeid avaldusi seoses tekkinud tõrkega ega ole seda kommenteerinud.

Muudatuste märkuses öeldi, et parandamine, mis rakendab uut SBAT poliitikat (UEFI Secure Boot Advanced Targeting), kehtib süsteemide jaoks, kus kasutatakse ainult Windowsi ja ei mõjuta kaheastmeliste käivitamiste konfiguratsioone (muudatus takistas võimalust kasutada vanade GRUBide käivituspilte Secure Booti ümbersuunamiseks süsteemides, kus on paigaldatud ainult Windows). Samuti toodi välja, et muudatus võib põhjustada probleeme vanade süsteemide ISO-piltide käivitamisega, mis on varustatud haavatava GRUBi versiooniga. Tegelikult ilmnesid probleemid ka kaheastmeliste käivitamiste kasutajatel, kes kasutasid uusi Linuxi jaotisi, nagu Ubuntu 24.04 ja Debian 12.6, kus GRUBi haavatavus on juba ammu kõrvaldatud.

Probleem avaldub laadimisprotsessi peatamisega, kuvades sõnumi „Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation”. Taaskäivitamiseks soovitatakse eemaldada UEFI süsteemist SBAT andmed, selleks võib Secure Booti lülitada välja BIOSis, laadida uus Linuxi jaotus UEFI Secure Booti toega, näiteks Ubuntu, ning käivitada käsuribal käsk „mokutil —set-sbat-policy delete”, seejärel taaskäivitada Linuxi jaotus õigete SBAT poliitikate rakendamiseks. Seejärel saab Secure Booti režiimi BIOSis taastada.

SBAT mehhanism on välja töötatud Red Hati ja Microsofti koostöös, et blokeerida GRUB-i laadimisprogrammi ja shim-i kihis esinevaid haavatavusi ilma digitaalsete allkirjade tühistamiseta. SBAT tähendab, et UEFI komponentide täiendavatesse metaandmetesse lisatakse esitatavate failide kaudu tootja, toote, komponendi ja versiooni teave. Nende metaandmete digitaalne allkiri kinnitab ja neid saab eraldi lisada UEFI Secure Boot jaoks lubatud või keelatud komponentide nimekirjadesse. SBAT võimaldab blokeerida digitaalsete allkirjade kasutamise teatud komponentide versioonide numbrite puhul ilma vajaduseta tühistada võtmeid Secure Boot jaoks.

SBAT kaudu haavatavuste blokeerimine ei nõua UEFI (dbx) tühistatud sertifikaatide nimekirja kasutamist, vaid toimub allkirjade vormimiseks ja GRUB2, shim'i ja teiste tarnitavate jaotiste laadimisartefaktide uuendamiseks siseriikliku võtme asendamise tasandil. Enne SBAT-i rakendamist oli tühistatud sertifikaatide nimekirja (dbx, UEFI tühistamisloend) uuendamine hädavajalik, et tagada haavatavuste täielik blokeerimine, kuna ründaja, sõltumata kasutatavast operatsioonisüsteemist, võis UEFI Secure Booti kompromiteerimiseks kasutada vanemat haavatavat GRUB2 laadimisvahendit, mille digitaalne allkiri oli kehtiv.

Allikas: opennet.ru