{"id":105601,"date":"2022-11-16T21:37:02","date_gmt":"2022-11-16T19:37:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dve-uyazvimosti-v-grub2-pozvolyayushhie-obojti-zashhitu-uefi-secure-boot"},"modified":"2022-11-16T21:37:02","modified_gmt":"2022-11-16T19:37:02","slug":"dve-uyazvimosti-v-grub2-pozvolyayushhie-obojti-zashhitu-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/dve-uyazvimosti-v-grub2-pozvolyayushhie-obojti-zashhitu-uefi-secure-boot","title":{"rendered":"Kaks haavatavust GRUB2-s, mis v\u00f5imaldavad \u00fcletada UEFI Secure Boot kaitset.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avatud on kaks haavatavust GRUB2 laadijates, mis v\u00f5ivad p\u00f5hjustada koodi t\u00e4itmist spetsiaalselt vormindatud fontide ja teatud Unicode-j\u00e4rjestuste t\u00f6\u00f6tlemise k\u00e4igus. Haavatavusi saab kasutada UEFI Secure Booti kinnitatud laadimise mehhanismi v\u00e4ltimiseks. <\/p>\n
Tuvastatud haavatavused: <\/p>\n
\n
CVE-2022-2601 \u2014 \u00fclevool m\u00e4lu funktsioonis grub_font_construct_glyph() pf2-formaadis korraldatud fontide t\u00f6\u00f6tlemisel, mis tuleneb max_glyph_size parameetri vale arvutamisest ja m\u00e4luala eraldamisest, mis on teadlikult v\u00e4iksem kui vajalik gl\u00fchfoonide mahutamiseks.\n
CVE-2022-3775 \u2014 m\u00e4lu eraldatud ala piiridest kirjutamine teatud Unicode-j\u00e4rjestuste joonistamisel spetsiaalselt korraldatud fonte kasutades. Probleem esineb fondit\u00f6\u00f6tluskoodis ja on tingitud n\u00f5uetekohaste kontrollide puudumisest gl\u00fcfide laiuse ja k\u00f5rguse vastavuse osas olemasoleva bitmap'i suurusele. R\u00fcndaja v\u00f5ib sisendi nii valida, et p\u00f5hjustada andmete kirjutamine eraldatud mahu piiridest v\u00e4lja. M\u00e4rgitakse, et vaatamata haavatavuse ekspluateerimise keerukusele ei saa v\u00e4listada probleemi koodi t\u00e4itmiseni viimist. <\/ul>\n
Parandus on avaldatud plaastrina. Haavatavuste k\u00f5rvaldamise staatus distributsioonides on hinnatav j\u00e4rgmistel lehtedel: Ubuntu, SUSE, RHEL, Fedora, Debian. GRUB2 probleemide lahendamiseks ei piisa lihtsalt paketi uuendamisest; on vajalik ka uute sisemiste digitaalsignatuuride loomine ning installerite, laadijate, kerneli pakettide, fwupd-firmware'ide ja shim-kihi uuendamine. <\/p>\n
Enamikus Linuxi distributsioonides kasutatakse UEFI Secure Boot re\u017eiimis kinnitatud laadimise jaoks v\u00e4ikest shim-vahetust, mille on digitaalselt allkirjastanud Microsoft. See vahetus verifitseerib GRUB2 oma sertifikaadiga, mis v\u00f5imaldab distributsioonide arendajatel mitte kinnitada iga kerneli ja GRUBi uuendust Microsoftis. GRUB2 haavatavused v\u00f5imaldavad koodi t\u00e4itmist vahetuse t\u00f5endamise j\u00e4rgselt, kuid enne operatsioonis\u00fcsteemi laadimist, sekkudes usaldusprotsessi Secure Boot aktiivse re\u017eiimi ajal ja saavutades t\u00e4ieliku kontrolli laadimisprotsessi \u00fcle, sealhulgas teise OS-i laadimise, operatsioonis\u00fcsteemi komponentide muutmise ja Lockdown kaitse m\u00f6\u00f6da mineku. <\/p>\n
Digitaalallkirja tagasi v\u00f5tmata haavatavuse blokeerimiseks v\u00f5ivad distributsioonid kasutada SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi, mille toetust on rakendatud GRUB2, shim ja fwupd enamikus populaarsetes Linuxi distributsioonides. SBAT on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6s Microsoftiga ning see h\u00f5lmab t\u00e4iendavate metainformatsioonide lisamist UEFI komponente sisaldavatesse t\u00e4iturfailidesse, sealhulgas tootja, toote, komponendi ja versiooni teavet. Mainitud metainformatsioon on digitaalallkirjaga allkirjastatud ja seda saab eraldi lisada lubatud v\u00f5i keelatud komponentide loetellu UEFI Secure Boot jaoks. <\/p>\n
SBAT v\u00f5imaldab blokeerida digitaalallkirja kasutamise konkreetsete komponentide versiooninumbrite jaoks ilma Secure Booti v\u00f5tmete tagasiv\u00f5tmiseta. SBAT kaudu haavatavuste blokeerimine ei vaja UEFI (dbx) tagasiv\u00f5etud sertifikaatide loetelu kasutamist, vaid toimub sisemise v\u00f5tme asendamise tasemel allkirjade genereerimiseks ja GRUB2, shim ja muude tarnitud distributsioonide k\u00e4ivitamisartefaktide uuendamiseks. Enne SBAT rakendamist oli tagasiv\u00f5etud sertifikaatide loetelu (dbx, UEFI tagasiv\u00f5etud loend) uuendamine h\u00e4davajalik, et haavatavus t\u00e4ielikult blokeerida, kuna r\u00fcndaja, s\u00f5ltumata kasutatavast operatsioonis\u00fcsteemist, sai UEFI Secure Booti kompromiteerimiseks kasutada vananemistootes haavatavat GRUB2 versiooni, mille digitaalallkiri oli kinnitatud. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"