Microsofti v\u00e4lja antud Windowsi ops\u00fcsteemi uuenduses, mis ilmus teisip\u00e4eval, tuvastati probleem, mis takistab Linuxi s\u00fcsteemide k\u00e4ivitamist, mis on installitud samal arvutil koos Windowsiga. Probleemi p\u00f5hjustab parandamine, mis on suunatud vanade haavatavuste (CVE-2022-2601) k\u00f5rvaldamisele GRUBi laadijast, mis parandati 2022. aastal. Microsoft ei ole seni avaldanud mingeid avaldusi seoses tekkinud t\u00f5rkega ega ole seda kommenteerinud. <\/p>\n
Muudatuste m\u00e4rkuses \u00f6eldi, et parandamine, mis rakendab uut SBAT poliitikat (UEFI Secure Boot Advanced Targeting), kehtib s\u00fcsteemide jaoks, kus kasutatakse ainult Windowsi ja ei m\u00f5juta kaheastmeliste k\u00e4ivitamiste konfiguratsioone (muudatus takistas v\u00f5imalust kasutada vanade GRUBide k\u00e4ivituspilte Secure Booti \u00fcmbersuunamiseks s\u00fcsteemides, kus on paigaldatud ainult Windows). Samuti toodi v\u00e4lja, et muudatus v\u00f5ib p\u00f5hjustada probleeme vanade s\u00fcsteemide ISO-piltide k\u00e4ivitamisega, mis on varustatud haavatava GRUBi versiooniga. Tegelikult ilmnesid probleemid ka kaheastmeliste k\u00e4ivitamiste kasutajatel, kes kasutasid uusi Linuxi jaotisi, nagu Ubuntu 24.04 ja Debian 12.6, kus GRUBi haavatavus on juba ammu k\u00f5rvaldatud. <\/p>\n
Probleem ilmneb laadimisprotsessi seiskumisega, mille korral kuvatakse s\u00f5num \"Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation\". Probleemi lahendamiseks soovitatakse eemaldada UEFI-sse installitud SBAT-andmed, selleks v\u00f5ib v\u00e4lja l\u00fclitada Secure Boot uusimas versioonis, laadida alla uuendatud Linuxi distributsioon, mis toetab UEFI Secure Boot, n\u00e4iteks Ubuntu, ja k\u00e4ivitada terminalis k\u00e4sk \"mokutil --set-sbat-policy delete\", p\u00e4rast mida taask\u00e4ivitada Linuxi distributsioon korrektse SBAT-poliitika seadistamiseks. P\u00e4rast seda saab Secure Boot re\u017eiimi BIOS-i tagasi l\u00fclitada. <\/p>\n
SBAT mehhanism on v\u00e4lja t\u00f6\u00f6tatud Red Hati ja Microsofti koost\u00f6\u00f6s, et blokeerida GRUB-i laadimisprogrammi ja shim-i kihis esinevaid haavatavusi ilma digitaalsete allkirjade t\u00fchistamiseta. SBAT t\u00e4hendab, et UEFI komponentide t\u00e4iendavatesse metaandmetesse lisatakse esitatavate failide kaudu tootja, toote, komponendi ja versiooni teave. Nende metaandmete digitaalne allkiri kinnitab ja neid saab eraldi lisada UEFI Secure Boot jaoks lubatud v\u00f5i keelatud komponentide nimekirjadesse. SBAT v\u00f5imaldab blokeerida digitaalsete allkirjade kasutamise teatud komponentide versioonide numbrite puhul ilma vajaduseta t\u00fchistada v\u00f5tmeid Secure Boot jaoks. <\/p>\n
SBAT kaudu haavatavuste blokeerimine ei n\u00f5ua UEFI (dbx) t\u00fchistatud sertifikaatide nimekirja kasutamist, vaid toimub allkirjade vormimiseks ja GRUB2, shim'i ja teiste tarnitavate jaotiste laadimisartefaktide uuendamiseks siseriikliku v\u00f5tme asendamise tasandil. Enne SBAT-i rakendamist oli t\u00fchistatud sertifikaatide nimekirja (dbx, UEFI t\u00fchistamisloend) uuendamine h\u00e4davajalik, et tagada haavatavuste t\u00e4ielik blokeerimine, kuna r\u00fcndaja, s\u00f5ltumata kasutatavast operatsioonis\u00fcsteemist, v\u00f5is UEFI Secure Booti kompromiteerimiseks kasutada vanemat haavatavat GRUB2 laadimisvahendit, mille digitaalne allkiri oli kehtiv. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"