Shim kihis, mida kasutatakse enamikus Linuxi distributsioonides autentitud laadimise jaoks UEFI Secure Boot re\u017eiimis, avastati haavatavus (CVE-2023-40547), mis v\u00f5ib viia kaugkoodide t\u00e4itmiseni ja UEFI Secure Booti autentimismehhanismi m\u00f6\u00f6daviimiseni. R\u00fcndaja, kes kontrollib HTTP-serverit, millele Shim p\u00f6\u00f6rdub, v\u00f5ib tagasi saata spetsiaalselt kujundatud vastuse, mis toob kaasa kontrollitud kirjutamise puhvriv\u00e4listesse piirkondadesse, et lubada koodi t\u00e4itmist laadimise varases staadiumis. <\/p>\n
Haavatavus tuleneb vigadest HTTP-faili laadimise koodis, mis ilmneb, kui t\u00f6\u00f6tletakse vigaseid vastuseid, mille HTTP-server, millele shim p\u00f6\u00f6rdub, tagastab. HTTPBoot re\u017eiimi shim toetab alates 2016. aastast ja see v\u00f5imaldab korraldada v\u00f5rgu kaudu laadimist, kasutades HTTP-protokolli k\u00e4ivitajafaili v\u00e4ljat\u00f5mbamiseks, mida kutsutakse j\u00e4rgmisel etapil. Shim eraldab HTTP kaudu failide laadimisel andmete vastuv\u00f5tmiseks puhvri, arvestades mitte andmete tegelikku suurust, vaid suurust, mis on m\u00e4\u00e4ratud HTTP-pealkirjas \u201eContent-Length\u201c. Seega, kui tagastada Content-Lengthi pealkirjas v\u00e4iksem v\u00e4\u00e4rtus, on v\u00f5imalik saavutada p\u00e4ringu sabajupi kirjutamine puhvri v\u00e4lisesse m\u00e4llu. <\/p>\n
Shim on digitaalselt allkirjastatud Microsofti poolt ja verifitseerib GRUB2 oma sertifikaadiga, mis v\u00f5imaldab distributsioonide arendajatel mitte allkirjastada iga tuuma ja GRUB-i v\u00e4rskendust Microsoftis. Shim\u2019i haavatavus v\u00f5imaldab siseneda usaldusketti, kui Secure Boot re\u017eiim on aktiivne, ja saada t\u00e4ielikku kontrolli laadimisprotsessi \u00fcle, n\u00e4iteks teise OS-i laadimiseks, operatsioonis\u00fcsteemi komponentide muutmiseks ja Lockdowni kaitsest m\u00f6\u00f6dumiseks. <\/p>\n
Haavatavus on k\u00f5rvaldatud Shim 15.8 versioonis, kuid r\u00fcnnaku t\u00e4ielikuks blokeerimiseks Shim\u2019i kaudu on vajalik uue versiooni allkirjastamine Microsofti poolt ja selle integreerimine distributsioonidesse. Haavatavuse k\u00f5rvaldamise staatust distributsioonides saab hinnata j\u00e4rgmistelt lehtedelt: Debian, Ubuntu, SUSE, RHEL, Fedora. Probleem seisneb selles, et ilma vana versiooni allkirjade t\u00fchistamiseta on parandamine m\u00f5ttetu, kuna r\u00fcndaja v\u00f5ib kasutada haavatavaShim-i versiooniga alglaadimise seadet UEFI Secure Boot'i kompromiteerimiseks. Kuid allkirjade t\u00fchistamine tooks kaasa tuvastatud laadimise v\u00f5imatuse distributsioonides, mis j\u00e4tkavad vana Shim\u2019i versiooni kasutamist. <\/p>\n
Kuna digitaalallkirja t\u00fchistamiseta haavatavuste blokeerimiseks v\u00f5ivad jaotised kasutada mehhanismi SBAT (UEFI Secure Boot Advanced Targeting), mille tugi on rakendatud GRUB2, shim ja fwupd enamikes tuntud Linuxi jaotustes. SBAT on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6s Microsoftiga ja h\u00f5lmab UEFI komponente sisaldavate esitamisfailide t\u00e4iendavate metaandmete lisamist, mis sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Loomulikult alla kirjutatud metaandmed v\u00f5ivad eraldi kuuluda lubatud v\u00f5i keelatud komponentide loenditesse UEFI Secure Boot jaoks. <\/p>\n
SBAT v\u00f5imaldab blokeerida digitaalallkirja kasutamise teatud komponentide versioonide jaoks ilma, et oleks vaja tagasi kutsuda v\u00f5tmeid Secure Boot. SBAT kaudu haavatavuste blokeerimine ei n\u00f5ua UEFI (dbx) t\u00fchistatud sertifikaatide loendi kasutamist, vaid toimub sisev\u00f5tme asendamise tasandil allkirjade genereerimiseks ja GRUB2, shim ja muude tarnitud distributsioonide alglaadimisartefaktide uuendamiseks. <\/p>\n
Lisaks k\u00e4sitletud haavatavusele on Shim 15.8-s parandatud mitu v\u00e4hem ohtlikku kohalikult \u00e4ra kasutatavat probleemi: <\/p>\n