Red Hat'i GRUB2 laadija patšides olev haavatavus, mis võimaldab parooli kontrolli kõrvale jätta

On avanenud teave haavatavuse (CVE-2023-4001) kohta GRUB2 laadija patšides, mille on ette valmistanud Red Hat. See haavatavus võimaldab mitmetel UEFI süsteemidel kõrvaldada GRUB2-s seatud paroolikontrolli, mis piirab juurdepääsu laadimismenüüsse või laadija käsurida. Haavatavuse põhjus on muudatus, mille Red Hat on teinud GRUB2 paketis, mida tarnitakse RHEL-i ja Fedora Linuxiga. Probleem ei ilmne GRUB2 põhiprojektis ja mõjutab ainult jaotusi, mis on rakendanud Red Hat'i täiendavaid patše.

Probleem tuleneb vigast UUID kasutamise loogikas, mis otsib laadija poolt seadme, kus asub konfiguratsioonifail (näiteks "/boot/efi/EFI/fedora/grub.cfg"), mis sisaldab parooli räsitud väärtust. Autentimise kõrvale hoidmiseks võib füüsilise juurdepääsuga kasutaja ühendada välise seadme, näiteks USB välkmälu, määrates selle UUID iga, mis kopeerib rünnaku sihtseadmest loaosas /boot.

Paljud UEFI süsteemid töötlevad esmalt välisseadmeid ja seavad need avastatud seadmete loendis enne statsionaarseid seadmeid, seetõttu on ründaja ettevalmistatud /boot lõiku prioriteetne. GRUB2 üritab sellelt jagult laadida konfiguratsioonifaili. Jaotuse otsimise protsessis, kasutades GRUB2 käsu "search", määratakse ainult esmase UUID vastavuse leidmine, pärast mida otsing peatatakse. Kui antud jaotuses põhikonfiguratsiooni faili ei leita, väljastab GRUB2 käsureadi, mis võimaldab täielikku kontrolli edasise laadimisprotsessi üle.

Kohalikud mittersüdistavad kasutajad saavad UUID jaotise määramiseks kasutada utiliiti „lsblk“, kuid kolmandad isikud, kellel puudub juurdepääs süsteemile, kuid kes suudavad jälgida laadimisprotsessi, võivad teatud distributsioonides määrata UUID laadimise ajal kuvatavate diagnostiliste sõnumite põhjal. Haavatavus on eemaldatud Red Hat'i kaudu, lisades käsule „search“ uue argumendi, mis võimaldab skaneerimise toimingut piiritleda ainult käivitusmenedžeri käivitamiseks kasutatavatele plokkseadmetele (st jaotis /boot peab olema samal kettal kui EFI süsteemi jaotis).

Allikas: opennet.ru