{"id":110421,"date":"2023-10-04T09:10:18","date_gmt":"2023-10-04T07:10:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-ntfs-drajvere-iz-sostava-grub2-pozvolyayushhaya-vypolnit-kod-i-obojti-uefi-secure-boot"},"modified":"2023-10-04T09:10:18","modified_gmt":"2023-10-04T07:10:18","slug":"uyazvimost-v-ntfs-drajvere-iz-sostava-grub2-pozvolyayushhaya-vypolnit-kod-i-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/uyazvimost-v-ntfs-drajvere-iz-sostava-grub2-pozvolyayushhaya-vypolnit-kod-i-obojti-uefi-secure-boot","title":{"rendered":"GRUB2 koostisosana NTFS-draiveris avastatud haavatavus, mis v\u00f5imaldab koodi k\u00e4ivitada ja UEFI Secure Boot'i \u00fcmber hiilida.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GRUB2 laadijaga NTFS-failis\u00fcsteemi haldamiseks etten\u00e4htud draiveris avastati haavatavus (CVE-2023-4692), mis v\u00f5imaldab k\u00e4ivitada oma koodi laadijatasemel, kui p\u00f6\u00f6rduda spetsiaalselt kujundatud failis\u00fcsteemi pildi poole. Seda haavatavust saab kasutada UEFI Secure Booti kontrollitud k\u00e4ivitamise mehhanismi \u00fcmberminekuks. <\/p>\n
Haavatavus on p\u00f5hjustatud veast NTFS atribuudi «$ATTRIBUTE_LIST» (grub-core\/fs\/ntfs.c) t\u00f6\u00f6tlemisel, mille abil on v\u00f5imalik kirjutada kasutaja kontrollitud teavet m\u00e4lupiiri v\u00e4ljapoole eraldatud m\u00e4llu. Spetsiaalselt vormistatud NTFS-pildi t\u00f6\u00f6tlemisel viib \u00fclevool GRUB-i m\u00e4lusihtpunkti osalise \u00fcle kirjutamiseni ning teatud tingimustel ka UEFI p\u00fcsivara m\u00e4lupiirkonna kahjustamiseni, mis v\u00f5imaldab potentsiaalselt k\u00e4ivitada oma koodi laadija v\u00f5i p\u00fcsivara tasemel. <\/p>\n
Lisaks on GRUB2 NTFS draiveris tuvastatud veel \u00fcks haavatavus (CVE-2023-4693), mis v\u00f5imaldab lugeda suvalise m\u00e4lupiirkonna sisu spetsiaalselt vormistatud NTFS pildi atribuudis «$DATA». Muuhulgas v\u00f5imaldab see haavatavus ekstraktida konfidentsiaalseid andmeid, mis on vahem\u00e4llu salvestatud, v\u00f5i m\u00e4\u00e4rata EFI muutujate v\u00e4\u00e4rtusi. <\/p>\n
Probleemid on praegu lahendatud ainult pat\u0161ina. Haavatavuste k\u00f5rvaldamise staatust jaotustes saab hinnata nendel lehtedel: Debian, Ubuntu, SUSE, RHEL, Fedora. GRUB2 probleemide lahendamiseks ei piisa pelgalt paketi uuendamisest; on vajalik ka uute sisemiste digitaalsete allkirjade vormistamine ning paigaldusprogrammide, laadijate, kernelipakettide, fwupd-firmwarede ja shim-kihtide uuendamine. <\/p>\n
Enamikus Linuxi distributsioonides kasutatakse UEFI Secure Booti kinnitatud laadimise jaoks v\u00e4ikest shim-kihti, mille on digitaalallkirjastanud Microsoft. See kiht kontrollib GRUB2 oma sertifikaadiga, v\u00f5imaldades distributsioonide arendajatel mitte allkirjastada iga kernelit ja GRUB-i Microsoftis. GRUB2 haavatavused v\u00f5imaldavad koodi k\u00e4ivitamist p\u00e4rast shim-i edukat kontrollimist, kuid enne operatsioonis\u00fcsteemi laadimist, sekkudes usaldusketti aktiivse Secure Booti re\u017eiimis ja saavutades t\u00e4ieliku kontrolli edasise laadimisprotsessi \u00fcle, n\u00e4iteks teise operatsioonis\u00fcsteemi laadimise, operatsioonis\u00fcsteemi komponentide modifitseerimise ja Lockdown kaitse \u00fcmbersuunamise jaoks. <\/p>\n
Digitaalallkirja tagasi v\u00f5tmata haavatavuse blokeerimiseks v\u00f5ivad distributsioonid kasutada SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi, mille toetust on rakendatud GRUB2, shim ja fwupd enamikus populaarsetes Linuxi distributsioonides. SBAT on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6s Microsoftiga ning see h\u00f5lmab t\u00e4iendavate metainformatsioonide lisamist UEFI komponente sisaldavatesse t\u00e4iturfailidesse, sealhulgas tootja, toote, komponendi ja versiooni teavet. Mainitud metainformatsioon on digitaalallkirjaga allkirjastatud ja seda saab eraldi lisada lubatud v\u00f5i keelatud komponentide loetellu UEFI Secure Boot jaoks. <\/p>\n
SBAT v\u00f5imaldab blokeerida digitaalallkirja kasutamise teatud komponendi versioonide jaoks, ilma et oleks vaja tagasi kutsuda v\u00f5tmeid Secure Booti jaoks. Haavatavuste blokeerimine SBAT kaudu ei n\u00f5ua UEFI tagasikutsumise sertifikaatide loendi (dbx) kasutamist ja toimub sisemise v\u00f5tme asendamise tasemel allkirjade vormistamiseks ja GRUB2, shim ja teiste jaotustes pakutud k\u00e4ivitamisartefaktide uuendamiseks. Enne SBAT rakendamist oli tagasikutsumise sertifikaatide loendi (dbx, UEFI Revocation List) uuendamine t\u00e4ieliku haavatavuse blokeerimise tingimus, kuna r\u00fcndaja, s\u00f5ltumata kasutatavast operatsioonis\u00fcsteemist, v\u00f5is haavatavuse \u00e4rakasutamiseks kasutada laadijat. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"