Kaugjuurdepääsul põhinev haavatavus Shim kihis, mis võimaldab mööda minna UEFI Secure Bootist

Shim kihis, mida kasutatakse enamikus Linuxi distributsioonides autentitud laadimise jaoks UEFI Secure Boot režiimis, avastati haavatavus (CVE-2023-40547), mis võib viia kaugkoodide täitmiseni ja UEFI Secure Booti autentimismehhanismi möödaviimiseni. Ründaja, kes kontrollib HTTP-serverit, millele Shim pöördub, võib tagasi saata spetsiaalselt kujundatud vastuse, mis toob kaasa kontrollitud kirjutamise puhvrivälistesse piirkondadesse, et lubada koodi täitmist laadimise varases staadiumis.

Haavatavus on põhjustatud veast HTTP kaudu failide laadimise koodis, mis avaldub, kui töödeldakse valevastuseid, mille tagastab Shimiga ühendatud HTTP-server. HTTPBoot režiim Shim’is on toetatud alates 2016. aastast ja see võimaldab korraldada võrgulaadimist, kasutades HTTP-protokolli laadimisfaili salvestamiseks, mida kutsutakse järgmises etapis. Shim laadides faile HTTP kaudu eraldab andmete vastuvõtmiseks puhvri, arvestades mitte tegelikku andmete suurust, vaid HTTP-pealkirjas „Content-Length“ näidatud suurust. Seega, tagastades Content-Length pealkirjas väiksema väärtuse, on võimalik saavutada päringute häälestamine mälu puhvriväliselt.

Shim on digitaalselt allkirjastatud Microsofti poolt ja verifitseerib GRUB2 oma sertifikaadiga, mis võimaldab distributsioonide arendajatel mitte allkirjastada iga tuuma ja GRUB-i värskendust Microsoftis. Shim’i haavatavus võimaldab siseneda usaldusketti, kui Secure Boot režiim on aktiivne, ja saada täielikku kontrolli laadimisprotsessi üle, näiteks teise OS-i laadimiseks, operatsioonisüsteemi komponentide muutmiseks ja Lockdowni kaitsest möödumiseks.

Haavatavus on kõrvaldatud Shim 15.8 versioonis, kuid rünnaku täielikuks blokeerimiseks Shim’i kaudu on vajalik uue versiooni allkirjastamine Microsofti poolt ja selle integreerimine distributsioonidesse. Haavatavuse kõrvaldamise staatust distributsioonides saab hinnata järgmistelt lehtedelt: Debian, Ubuntu, SUSE, RHEL, Fedora. Probleem seisneb selles, et ilma vana versiooni allkirjade tühistamiseta on parandamine mõttetu, kuna ründaja võib kasutada haavatavaShim-i versiooniga alglaadimise seadet UEFI Secure Boot'i kompromiteerimiseks. Kuid allkirjade tühistamine tooks kaasa tuvastatud laadimise võimatuse distributsioonides, mis jätkavad vana Shim’i versiooni kasutamist.

Kuna digitaalallkirja tühistamiseta haavatavuste blokeerimiseks võivad jaotised kasutada mehhanismi SBAT (UEFI Secure Boot Advanced Targeting), mille tugi on rakendatud GRUB2, shim ja fwupd enamikes tuntud Linuxi jaotustes. SBAT on välja töötatud koostöös Microsoftiga ja hõlmab UEFI komponente sisaldavate esitamisfailide täiendavate metaandmete lisamist, mis sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Loomulikult alla kirjutatud metaandmed võivad eraldi kuuluda lubatud või keelatud komponentide loenditesse UEFI Secure Boot jaoks.

SBAT võimaldab blokeerida digitaalallkirja kasutamise teatud komponentide versioonide jaoks ilma, et oleks vaja tagasi kutsuda võtmeid Secure Boot. SBAT kaudu haavatavuste blokeerimine ei nõua UEFI (dbx) tühistatud sertifikaatide loendi kasutamist, vaid toimub sisevõtme asendamise tasandil allkirjade genereerimiseks ja GRUB2, shim ja muude tarnitud distributsioonide alglaadimisartefaktide uuendamiseks.

Lisaks käsitletud haavatavusele on Shim 15.8-s parandatud mitu vähem ohtlikku kohalikult ära kasutatavat probleemi:

• CVE-2023-40548 — täisarvu ülevool funktsioonis verify_sbat_section, mis põhjustab puhverülevoolu 32-bitistes süsteemides.
• CVE-2023-40546 — mälu ala lugemine väljaspool puhvrit, kui kuvada vigade sõnumeid funktsiooni LogError() kaudu.
• CVE-2023-40549 — mälu ala lugemine väljaspool puhvrit funktsioonis verify_buffer_authenticode() spetsiaalselt vormindatud PE-faili töötlemisel.
• CVE-2023-40550 — mälu ala lugemine väljaspool puhvrit funktsioonis verify_buffer_sbat().
• CVE-2023-40551 — mälu ala lugemine väljaspool puhvrit MZ-failide analüüsimisel.

Allikas: opennet.ru