Avaldatud on komplekt pat\u0161e, mis k\u00f5rvaldab 6 haavatavust GRUB2 laadimise s\u00fcsteemis, millest enamik viib m\u00e4lu juurde p\u00e4\u00e4semiseni p\u00e4rast selle vabastamist (use-after-free). Potentsiaalselt avastatud probleemid v\u00f5ivad olla kasutatud UEFI Secure Boot'i kinnitamise mehhanismi \u00fcletamiseks. Haavatavuste k\u00f5rvaldamise staatust erinevates distributiivides saab hinnata nende lehtede kaudu: Debian, Ubuntu, SUSE, RHEL, Arch ja Fedora. GRUB2 probleemide k\u00f5rvaldamiseks ei piisa lihtsalt paketi uuendamisest; samuti tuleb luua uusi sisemisi digitaalallkirju ning uuendada paigaldajaid, laadureid, kerneli pakette, fwupd-firmware ja shim-kihti. <\/p>\n
Tuvastatud haavatavused: <\/p>\n
\n
CVE-2025-61661 \u2014 m\u00e4lu \u00fcletamine funktsioonis grub_usb_get_string(), mis v\u00f5ib saada v\u00f5imalikuks UTF-8 ja UTF-16 kodeeringus ridade t\u00f6\u00f6tlemisel, kui \u00fchendatakse USB-seadmeid. Probleem tuleneb sellest, et m\u00e4lu eraldati USB-seadmest saadud esimeses s\u00f5numis n\u00e4idatud rea suuruse alusel, samas kui kodeerimise muutmise ajal arvutati suurus j\u00e4rgmiste USB-seadmest lugemise operatsioonide p\u00f5hjal. Seega saab r\u00fcnnaku jaoks kasutada muudetud USB-seadet, mis algselt tagastab alahinnatud suuruse.\n
CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 \u2014 k\u00e4skluste \u201enormal\u201c, \u201enormal_exit\u201c, \u201enet_set_vlan\u201c ja \u201egettext\u201c t\u00f6\u00f6tlemise puhastamise puudumine p\u00e4rast moodulite \u201enormal\u201c, \u201enet\u201c ja \u201egettext\u201c lahti laadimist, mis loob tingimused m\u00e4lu juurde p\u00e4\u00e4semiseks p\u00e4rast selle vabastamist (use-after-free), kui neid m\u00e4rkida k\u00e4sklusi p\u00e4rast vastavate moodulite lahti laadimist. Sarnaseid haavatavusi on leitud ka k\u00e4skude \u201efunctional_test\u201c ja \u201eall_functional_test\u201c jaoks, kuid neile ei ole m\u00e4\u00e4ratud CVE-identifikaatoreid, kuna need k\u00e4skud kuuluvad testiraamatukogusse ja ei tohiks kuuluda t\u00f6\u00f6sse kogudesse.\n
CVE-2025-54771 \u2014 t\u00f5rge \u201efs\u201c struktuuride viidete arvestamisel funktsioonis grub_file_close(), mis viib m\u00e4lu juurde p\u00e4\u00e4semiseni p\u00e4rast selle vabastamist (use-after-free). <\/ul>\n
Enamikus Linuxi distributsioonides kasutatakse UEFI Secure Booti kinnitatud laadimise jaoks v\u00e4ikest shim-kihti, mille on digitaalallkirjastanud Microsoft. See kiht kontrollib GRUB2 oma sertifikaadiga, v\u00f5imaldades distributsioonide arendajatel mitte allkirjastada iga kernelit ja GRUB-i Microsoftis. GRUB2 haavatavused v\u00f5imaldavad koodi k\u00e4ivitamist p\u00e4rast shim-i edukat kontrollimist, kuid enne operatsioonis\u00fcsteemi laadimist, sekkudes usaldusketti aktiivse Secure Booti re\u017eiimis ja saavutades t\u00e4ieliku kontrolli edasise laadimisprotsessi \u00fcle, n\u00e4iteks teise operatsioonis\u00fcsteemi laadimise, operatsioonis\u00fcsteemi komponentide modifitseerimise ja Lockdown kaitse \u00fcmbersuunamise jaoks. <\/p>\n
Digitaalallkirja tagasi v\u00f5tmata haavatavuse blokeerimiseks v\u00f5ivad distributsioonid kasutada SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi, mille toetust on rakendatud GRUB2, shim ja fwupd enamikus populaarsetes Linuxi distributsioonides. SBAT on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6s Microsoftiga ning see h\u00f5lmab t\u00e4iendavate metainformatsioonide lisamist UEFI komponente sisaldavatesse t\u00e4iturfailidesse, sealhulgas tootja, toote, komponendi ja versiooni teavet. Mainitud metainformatsioon on digitaalallkirjaga allkirjastatud ja seda saab eraldi lisada lubatud v\u00f5i keelatud komponentide loetellu UEFI Secure Boot jaoks. <\/p>\n
SBAT v\u00f5imaldab blokeerida digitaalallkirja kasutamise konkreetsete komponentide versiooninumbrite jaoks ilma Secure Booti v\u00f5tmete tagasiv\u00f5tmiseta. SBAT kaudu haavatavuste blokeerimine ei vaja UEFI (dbx) tagasiv\u00f5etud sertifikaatide loetelu kasutamist, vaid toimub sisemise v\u00f5tme asendamise tasemel allkirjade genereerimiseks ja GRUB2, shim ja muude tarnitud distributsioonide k\u00e4ivitamisartefaktide uuendamiseks. Enne SBAT rakendamist oli tagasiv\u00f5etud sertifikaatide loetelu (dbx, UEFI tagasiv\u00f5etud loend) uuendamine h\u00e4davajalik, et haavatavus t\u00e4ielikult blokeerida, kuna r\u00fcndaja, s\u00f5ltumata kasutatavast operatsioonis\u00fcsteemist, sai UEFI Secure Booti kompromiteerimiseks kasutada vananemistootes haavatavat GRUB2 versiooni, mille digitaalallkiri oli kinnitatud. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"