{"id":149133,"date":"2025-11-21T17:11:55","date_gmt":"2025-11-21T15:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/6-uyazvimostej-v-zagruzchike-grub2-pozvolyayushhih-obojti-uefi-secure-boot"},"modified":"2025-11-21T17:11:55","modified_gmt":"2025-11-21T15:11:55","slug":"6-uyazvimostej-v-zagruzchike-grub2-pozvolyayushhih-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/6-uyazvimostej-v-zagruzchike-grub2-pozvolyayushhih-obojti-uefi-secure-boot","title":{"rendered":"6 haavatust GRUB2 k\u00e4ivitajades, mis v\u00f5imaldavad m\u00f6\u00f6duda UEFI Secure Bootist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avaldatud on plekkide komplekt, mis k\u00f5rvaldab 6 haavatust GRUB2 k\u00e4ivitajas, millest enamik p\u00f5hjustab p\u00e4rast vabastamist m\u00e4lu juurde p\u00e4\u00e4semist (use-after-free). Potentsiaalselt tuvastatud probleemid v\u00f5ivad v\u00f5imaldada UEFI Secure Booti t\u00f5endi laadimise mehhanismi m\u00f6\u00f6daviimist. Haavatuste k\u00f5rvaldamise staatusi jaotistes saab hinnata j\u00e4rgmistelt lehtedelt: Debian, Ubuntu, SUSE, RHEL, Arch ja Fedora. GRUB2 probleemide k\u00f5rvaldamiseks ei piisa lihtsalt paketi uuendamisest; on vajalik ka uute sisemiste digitaalsete allkirjade vormistamine ning installatsioonide, k\u00e4ivitajate, kerneli pakettide, fwupd-firmware\u2019ide ja shim-s\u00fcdamike uuendamine. <\/p>\n
Tuletatud haavatavused: <\/p>\n
\n
CVE-2025-61661 \u2014 m\u00e4lu\u00fcletus vead funktsioonis grub_usb_get_string(), mis v\u00f5ib ilmneda UTF-8 ja UTF-16 kodeeringus stringe t\u00f6\u00f6deldes, kui USB-seadmeid \u00fchendatakse. Probleem tuleneb sellest, et m\u00e4lu eraldati USB-seadmest saadud algse stringi suuruse p\u00f5hjal, samas kui kodeerimise teisendamise k\u00e4igus arvutati suurus j\u00e4rgnevad USB-seadmest lugemise operatsioonide p\u00f5hjal. Seet\u00f5ttu saab r\u00fcnnakuks kasutada muudetud USB-seadet, mis algselt tagastab alahinnatud suuruse.\n
CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 \u2014 k\u00e4sureak\u00f5ikide 'normal', 'normal_exit', 'net_set_vlan' ja 'gettext' t\u00f6\u00f6tlemise puuduv puhastamine modulite 'normal', 'net' ja 'gettext' laadimisel, luues tingimused m\u00e4lu juurde p\u00e4\u00e4semiseks p\u00e4rast selle vabastamist (use-after-free), kui nimetatud k\u00e4ske t\u00e4idetakse p\u00e4rast vastavate modulite laadimist. Sarnased haavatavused leiti ka k\u00e4skude 'functional_test' ja 'all_functional_test' jaoks, kuid neile ei omistatud CVE-id, kuna need k\u00e4sud kuuluvad testimise raamatukogu ja ei tohiks olla t\u00f6\u00f6kogudes.\n
CVE-2025-54771 \u2014 viga 'fs' struktuuride viidete arvestuses funktsioonis grub_file_close(), mis viib m\u00e4lu juurde p\u00e4\u00e4semiseni p\u00e4rast selle vabastamist (use-after-free). <\/ul>\n
In most Linux distributions, a small shim layer, signed by Microsoft, is used for verified boot in UEFI Secure Boot mode. This shim verifies GRUB2 with its own certificate, allowing distribution developers to avoid signing every kernel and GRUB update with Microsoft. Vulnerabilities in GRUB2 can enable code execution after the successful verification of the shim, but before the operating system is loaded, infiltrating the trust chain while Secure Boot is active and gaining full control over the boot process, allowing for loading another OS, modifying operating system components, and bypassing Lockdown protection. <\/p>\n
Kuna digitaalallkirja t\u00fchistamiseta haavatavuste blokeerimiseks v\u00f5ivad jaotised kasutada mehhanismi SBAT (UEFI Secure Boot Advanced Targeting), mille tugi on rakendatud GRUB2, shim ja fwupd enamikes tuntud Linuxi jaotustes. SBAT on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6s Microsoftiga ja h\u00f5lmab UEFI komponente sisaldavate esitamisfailide t\u00e4iendavate metaandmete lisamist, mis sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Loomulikult alla kirjutatud metaandmed v\u00f5ivad eraldi kuuluda lubatud v\u00f5i keelatud komponentide loenditesse UEFI Secure Boot jaoks. <\/p>\n
SBAT v\u00f5imaldab blokeerida digitaalallkirja kasutamise \u00fcksikute komponentide versioonide numbrite jaoks ilma Secure Booti v\u00f5tmete t\u00fchistamise vajaduseta. Haavatavuste blokeerimine SBAT kaudu ei n\u00f5ua UEFI t\u00fchistatud sertifikaatide (dbx) loendi kasutamist, vaid toimub sisemise v\u00f5tme vahetuse tasemel allkirjade genereerimise ja GRUB2, shim ning teiste jaotustelt tarnitud laadimisartefaktide uuendamise jaoks. Enne SBAT'i rakendamist oli t\u00fchistatud sertifikaatide (dbx, UEFI Revocation List) loendi uuendamine t\u00e4ieliku haavatavuse blokeerimise kohustuslik tingimus, kuna r\u00fcndaja v\u00f5is, olenemata kasutatavast operatsioonis\u00fcsteemist, UEFI Secure Booti kompromiteerida vanade haavatavate GRUB2 versioonidega, mis olid digitaalse allkirjaga allkirjastatud. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"