{"id":99320,"date":"2021-03-03T16:22:39","date_gmt":"2021-03-03T14:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot"},"modified":"2021-03-03T16:22:39","modified_gmt":"2021-03-03T14:22:39","slug":"trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","title":{"rendered":"Karmid haavatavused GRUB2-s, mis v\u00f5imaldavad UEFI Secure Boot'i \u00fcmbersuunamist.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Avalikustati teave 8 haavatavuse kohta GRUB2 alglaaduris, mis v\u00f5imaldavad m\u00f6\u00f6da minna UEFI Secure Boot mehhanismist ja k\u00e4ivitada verifitseerimata koodi, n\u00e4iteks paigaldada pahavara, mis t\u00f6\u00f6tab alglaaduri v\u00f5i kerneli tasemel. <\/p>\n

Tuletame meelde, et enamikus Linuxi distributsioonides kasutatakse verifitseeritud k\u00e4ivitamiseks UEFI Secure Boot re\u017eiimis v\u00e4ikest shim-vahekihti, mis on allkirjastatud Microsofti digiallkirjaga. See vahekiht verifitseerib GRUB2 oma sertifikaadiga, mis v\u00f5imaldab distributsioonide arendajatel mitte allkirjastada Microsoftis iga kerneli ja GRUBi uuendust. GRUB2 haavatavused v\u00f5imaldavad k\u00e4ivitada oma koodi p\u00e4rast shimi edukat verifitseerimist, kuid enne operatsioonis\u00fcsteemi laadimist, sekkudes aktiivse Secure Boot re\u017eiimi korral usaldusahelasse ja saades t\u00e4ieliku kontrolli edasise alglaadimisprotsessi \u00fcle, sealhulgas teise operatsioonis\u00fcsteemi k\u00e4ivitamiseks, operatsioonis\u00fcsteemi komponentide muutmiseks ja Lockdown-kaitse \u00fcmbers\u00f5itmiseks. <\/p>\n

Nagu ka eelmise aasta BootHole'i haavatavuse puhul, ei piisa probleemi k\u00f5rvaldamiseks ainult alglaaduri uuendamisest, sest r\u00fcndaja v\u00f5ib kasutatavast operatsioonis\u00fcsteemist s\u00f5ltumata UEFI Secure Boot kompromiteerimiseks kasutada alglaadimiskandjat vana haavatava GRUB2 versiooniga, mis on digitaalselt allkirjastatud. Probleemi saab lahendada ainult t\u00fchistatud sertifikaatide loendi (dbx, UEFI Revocation List) uuendamisega, kuid sel juhul kaob v\u00f5imalus kasutada vanu Linuxi paigalduskandjaid. <\/p>\n

S\u00fcsteemides, mille p\u00fcsivaras on t\u00fchistatud sertifikaatide loend uuendatud, saab UEFI Secure Boot re\u017eiimis k\u00e4ivitada ainult Linuxi distributsioonide uuendatud versioone. Distributsioonid peavad omakorda uuendama paigaldajaid, alglaadureid, kerneli pakette, fwupd-p\u00fcsivara ja shim-vahekihti ning looma neile uued digiallkirjad. Kasutajad peavad uuendama paigaldust\u00f5mmiseid ja muid alglaadimiskandjaid ning laadima t\u00fchistatud sertifikaatide loendi (dbx) UEFI p\u00fcsivarasse. Kuni dbx-i UEFI-s ei uuendata, j\u00e4\u00e4b s\u00fcsteem haavatavaks s\u00f5ltumata sellest, kas operatsioonis\u00fcsteemis on uuendused paigaldatud. Haavatavuste k\u00f5rvaldamise staatust saab hinnata j\u00e4rgmistel lehtedel: Ubuntu, SUSE, RHEL, Debian. <\/p>\n

T\u00fchistatud sertifikaatide levitamisel tekkivate probleemide lahendamiseks on edaspidi kavas kasutusele v\u00f5tta SBAT-mehhanism (UEFI Secure Boot Advanced Targeting), mille tugi on GRUB2, shim-i ja fwupd jaoks juba rakendatud ning mida hakatakse j\u00e4rgmistes uuendustes kasutama paketi dbxtool pakutava funktsionaalsuse asemel. SBAT on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6s Microsoftiga ja see t\u00e4hendab uute metaandmete lisamist UEFI komponentide k\u00e4ivitatavatesse failidesse; need sisaldavad teavet tootja, toote, komponendi ja versiooni kohta. Need metaandmed kinnitatakse digiallkirjaga ning neid saab t\u00e4iendavalt lisada UEFI Secure Booti lubatud v\u00f5i keelatud komponentide loenditesse. Nii v\u00f5imaldab SBAT t\u00fchistamise korral hallata komponentide versiooninumbreid ilma, et oleks vaja Secure Booti v\u00f5tmeid uuesti genereerida v\u00f5i luua uusi allkirju kernelile, shim-ile, grub2-le ja fwupd-le. <\/p>\n

Tuletatud haavatavused: <\/p>\n