GRUB2 haavatavused, mis võimaldavad mööda minna UEFI Secure Boot'ist

GRUB2 laadijast on eemaldatud 7 haavatavust, mis võimaldavad mööda minna UEFI Secure Boot mehhanismist ja käivitada mitteverifitseeritud koodi, näiteks viia läbi pahavara sisestamine, mis töötab laadija või tuuma tasemel. Samuti on märgitud üks haavatavus shim kihis, mis võimaldab samuti UEFI Secure Boot'i ümber käia. Haavatavuste rühm sai koodnimeks Boothole 3, sarnaselt varasemate probleemidega, mis tuvastati laadijas.

GRUB2 ja shim probleemide kõrvaldamiseks saavad distributsioonid kasutada SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi, mille tugi on rakendatud GRUB2, shim ja fwupd jaoks. SBAT on välja töötatud koostöös Microsoftiga ja eeldab, et UEFI komponentide täitmisfailidesse lisatakse täiendavaid metaandmeid, mis sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Need metaandmed allkirjastatakse digitaalsete allkirjadega ja võivad eraldi kuuluda lubatud või keelatud komponentide loetellu UEFI Secure Boot jaoks.

Enamikus Linuxi distributsioonides kasutatakse UEFI Secure Boot režiimis kinnitatud laadimise jaoks väikest shim-vahetust, mille on digitaalselt allkirjastanud Microsoft. See vahetus verifitseerib GRUB2 oma sertifikaadiga, mis võimaldab distributsioonide arendajatel mitte kinnitada iga kerneli ja GRUBi uuendust Microsoftis. GRUB2 haavatavused võimaldavad koodi täitmist vahetuse tõendamise järgselt, kuid enne operatsioonisüsteemi laadimist, sekkudes usaldusprotsessi Secure Boot aktiivse režiimi ajal ja saavutades täieliku kontrolli laadimisprotsessi üle, sealhulgas teise OS-i laadimise, operatsioonisüsteemi komponentide muutmise ja Lockdown kaitse mööda mineku.

Laadija probleemide kõrvaldamiseks peavad distributsioonid looma uusi sise digitaalseid allkirju ja värskendama installereid, laadijaid, tuumapakette, fwupd-firmware ja shim kihte. Enne SBAT-i rakendamist oli tagasivõetud sertifikaatide nimekirja (dbx, UEFI Revocation List) värskendamine vajalik täieliku haavatavuse blokeerimise jaoks, kuna ründaja, sõltumata kasutatavast operatsioonisüsteemist, võis UEFI Secure Boot'i kompromiteerida, kasutades vanemat haavatavat GRUB2 versiooni, mis oli digitaalselt allkirjastatud.

SBAT-i allkirja tühistamise asemel võimaldab see blokeerida selle kasutamise üksikute komponentide versioonide numbrite kaupa, ilma et oleks vaja tühistada Secure Boot jaoks mõeldud võtmeid. Haavatavuste blokeerimine SBAT-i kaudu ei nõua UEFI tagasi võetud sertifikaatide loendi (dbx) kasutamist, vaid toimub sisemise võtme asendamise tasandil allkirjade vormimiseks ja GRUB2, shim ja teiste distribuutorite laadimisartefaktide värskendamiseks. Praegu on SBAT-i tugi juba lisatud enamikku populaarsetesse Linuxi distributsioonidesse.

Tuvastatud haavatavused:

• CVE-2021-3696, CVE-2021-3695 - mälu mahutavuse ülevool PNG-piltide töötlemisel, mida teoreetiliselt saab kasutada ründaja koodi täitmise korraldamiseks ja UEFI Secure Boot'i mööda minemiseks. Märgitakse, et probleemi on keeruline ära kasutada, kuna töötava eksploitatsiooni loomiseks on vajalik palju tegureid ja teadmisi mälu jaotusest.
• CVE-2021-3697 - ala piiride ülevool JPEG-piltide töötlemise koodis. Probleemi ärakasutamine nõuab teadlikkust mälu jaotusest ja on keerukuse poolest sarnaselt PNG probleemiga (CVSS 7.5).
• CVE-2022-28733 - täisarvude ülevool funktsioonis grub_net_recv_ip4_packets(), mis võimaldab mõjutada parameetrit rsm->total_len spetsiaalselt vormindatud IP-paketi saatmise kaudu. Seda probleemi peetakse kõige ohtlikumaks esitatud haavatavustest (CVSS 8.1). Kui eksploteerida, võimaldab see haavatavus kirjutada andmeid mälu piirest välja, kasutades teadlikult väiksemat mälu suurust.
• CVE-2022-28734 - ühekohaline mälu ülevool jagatud HTTP-pealkirjade töötlemisel. Probleem võib põhjustada GRUB2 metaandmete rikkumist (nullbaiti kirjutamine kohe peale vahemälu lõppu) spetsiaalselt vormindatud HTTP-päringute töötlemisel.
• CVE-2022-28735 - probleem shim_lock valideerijas, mis võimaldab laadida faile, mis ei ole seotud tuumaga. Haavatavust saab kasutada UEFI Secure Boot režiimis allkirjastamata digitaalsete moodulite või mittetuvastatud koodi laadimiseks.
• CVE-2022-28736 - juurdepääs juba vabastatud mälupiirkonnale funktsioonis grub_cmd_chainloader() läbi chainloader käsu kordusläbimise, mis on loodud toetama operatsioonisüsteemide laadimist, mida GRUB2 ei toeta. Eksploteerimine võib viia ründaja koodi täitmiseni, kui kurjategija suudab määrata GRUB2 mälu jaotuse omadusi.
• CVE-2022-28737 - mälu ülevool shim kihis, mis esineb funktsioonis handle_image() spetsiaalselt vormindatud EFI piltide laadimisel ja täitmisel.

Allikas: opennet.ru