Karmid haavatavused GRUB2-s, mis võimaldavad UEFI Secure Boot'i ümbersuunamist.

Avalikustati teave 8 haavatavuse kohta GRUB2 alglaaduris, mis võimaldavad mööda minna UEFI Secure Boot mehhanismist ja käivitada verifitseerimata koodi, näiteks paigaldada pahavara, mis töötab alglaaduri või kerneli tasemel.

Tuletame meelde, et enamikus Linuxi distributsioonides kasutatakse verifitseeritud käivitamiseks UEFI Secure Boot režiimis väikest shim-vahekihti, mis on allkirjastatud Microsofti digiallkirjaga. See vahekiht verifitseerib GRUB2 oma sertifikaadiga, mis võimaldab distributsioonide arendajatel mitte allkirjastada Microsoftis iga kerneli ja GRUBi uuendust. GRUB2 haavatavused võimaldavad käivitada oma koodi pärast shimi edukat verifitseerimist, kuid enne operatsioonisüsteemi laadimist, sekkudes aktiivse Secure Boot režiimi korral usaldusahelasse ja saades täieliku kontrolli edasise alglaadimisprotsessi üle, sealhulgas teise operatsioonisüsteemi käivitamiseks, operatsioonisüsteemi komponentide muutmiseks ja Lockdown-kaitse ümbersõitmiseks.

Nagu ka eelmise aasta BootHole'i haavatavuse puhul, ei piisa probleemi kõrvaldamiseks ainult alglaaduri uuendamisest, sest ründaja võib kasutatavast operatsioonisüsteemist sõltumata UEFI Secure Boot kompromiteerimiseks kasutada alglaadimiskandjat vana haavatava GRUB2 versiooniga, mis on digitaalselt allkirjastatud. Probleemi saab lahendada ainult tühistatud sertifikaatide loendi (dbx, UEFI Revocation List) uuendamisega, kuid sel juhul kaob võimalus kasutada vanu Linuxi paigalduskandjaid.

Süsteemides, mille püsivaras on tühistatud sertifikaatide loend uuendatud, saab UEFI Secure Boot režiimis käivitada ainult Linuxi distributsioonide uuendatud versioone. Distributsioonid peavad omakorda uuendama paigaldajaid, alglaadureid, kerneli pakette, fwupd-püsivara ja shim-vahekihti ning looma neile uued digiallkirjad. Kasutajad peavad uuendama paigaldustõmmiseid ja muid alglaadimiskandjaid ning laadima tühistatud sertifikaatide loendi (dbx) UEFI püsivarasse. Kuni dbx-i UEFI-s ei uuendata, jääb süsteem haavatavaks sõltumata sellest, kas operatsioonisüsteemis on uuendused paigaldatud. Haavatavuste kõrvaldamise staatust saab hinnata järgmistel lehtedel: Ubuntu, SUSE, RHEL, Debian.

Tühistatud sertifikaatide levitamisel tekkivate probleemide lahendamiseks on edaspidi kavas kasutusele võtta SBAT-mehhanism (UEFI Secure Boot Advanced Targeting), mille tugi on GRUB2, shim-i ja fwupd jaoks juba rakendatud ning mida hakatakse järgmistes uuendustes kasutama paketi dbxtool pakutava funktsionaalsuse asemel. SBAT on välja töötatud koostöös Microsoftiga ja see tähendab uute metaandmete lisamist UEFI komponentide käivitatavatesse failidesse; need sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Need metaandmed kinnitatakse digiallkirjaga ning neid saab täiendavalt lisada UEFI Secure Booti lubatud või keelatud komponentide loenditesse. Nii võimaldab SBAT tühistamise korral hallata komponentide versiooninumbreid ilma, et oleks vaja Secure Booti võtmeid uuesti genereerida või luua uusi allkirju kernelile, shim-ile, grub2-le ja fwupd-le.

Tuletatud haavatavused:

• CVE-2020-14372 — käsu acpi abil saab GRUB2-s kohaliku süsteemi privilegeeritud kasutaja laadida muudetud ACPI-tabeleid, paigutades SSDT (Secondary System Description Table) kataloogi /boot/efi ja muutes seadeid failis grub.cfg. Hoolimata sellest, et Secure Boot on aktiivne, täidab kernel pakutud SSDT ning seda saab kasutada LockDown-kaitse keelamiseks, mis blokeerib UEFI Secure Bootist möödahiilimise viisid. Selle tulemusena võib ründaja saavutada oma kernelimooduli laadimise või käivitada koodi mehhanismi kexec kaudu ilma digiallkirja kontrollita.
• CVE-2020-25632 — juurdepääs juba vabastatud mälualale (use-after-free) käsu rmmod teostuses, mis avaldub katsel eemaldada mis tahes moodulit, arvestamata sellega seotud sõltuvusi. Haavatavus ei välista exploit'i loomist, mis võib viia koodi käivitamiseni Secure Booti verifitseerimisest mööda minnes.
• CVE-2020-25647 — puhvri piire ületav kirjutamine funktsioonis grub_usb_device_initialize(), mida kutsutakse USB-seadmete initsialiseerimisel. Probleemi saab ära kasutada spetsiaalselt ette valmistatud USB-seadme ühendamisega, mis edastab parameetreid, mille maht ei vasta USB-struktuuride jaoks eraldatud puhvri suurusele. Ründaja võib USB-seadmetega manipuleerides saavutada sellise koodi käivitamise, mida Secure Boot ei verifitseeri.
• CVE-2020-27749 — puhvri ületäitumine funktsioonis grub_parser_split_cmdline(), mille võib esile kutsuda üle 1 KB suuruste muutujate määramine GRUB2 käsureal. Haavatavus võimaldab saavutada koodi käivitamise, minnes Secure Bootist mööda.
• CVE-2020-27779 — käsk cutmem võimaldab ründajal eemaldada mälust aadressivahemiku, et minna Secure Bootist mööda.
• CVE-2021-3418 — muudatused shim_lock-is lõid täiendava vektori eelmise aasta haavatavuse CVE-2020-15705 ärakasutamiseks. Kui dbx-i paigaldati GRUB2 allkirjastamiseks kasutatav sertifikaat, võimaldas GRUB2 laadida otse mis tahes tuuma ilma allkirja kontrollimata.
• CVE-2021-20225 — võimalus kirjutada andmeid puhvri piiridest väljapoole käskude käivitamisel väga suure arvu valikutega.
• CVE-2021-20233 — võimalus kirjutada andmeid puhvri piiridest väljapoole puhvri suuruse vale arvutamise tõttu jutumärkide kasutamisel. Suuruse arvutamisel eeldati, et ühekordse jutumärgi paojadamiseks on vaja kolme märki, kuigi tegelikult on vaja nelja.

Allikas: opennet.ru