Ynformaasje is iepenbiere oer twa kwetsberens yn 'e GRUB2-bootloader, wat kin liede ta koade-útfiering by it brûken fan spesjaal ûntworpen lettertypen en it ferwurkjen fan bepaalde Unicode-sekwinsjes. Kwetsberheden kinne brûkt wurde om it UEFI Secure Boot ferifiearre bootmeganisme te omgean.
Identifisearre kwetsberens:
- CVE-2022-2601 - In bufferoerstream yn 'e funksje grub_font_construct_glyph() by it ferwurkjen fan spesjaal ûntwurpen lettertypen yn it pf2-formaat, wat bart troch in ferkearde berekkening fan 'e parameter max_glyph_size en de tawizing fan in ûnthâldgebiet dat fansels lytser is as nedich om plak foar de glyphs.
- CVE-2022-3775 In skriuw bûten de grinzen komt foar by it werjaan fan guon Unicode-sekwinsjes yn in spesjaal stylearre lettertype. It probleem is yn 'e lettertypeferwurkingskoade en wurdt feroarsake troch in gebrek oan goede kontrôles om te soargjen dat de breedte en hichte fan' e glyph oerienkomt mei de grutte fan 'e beskikbere bitmap. In oanfaller kin de ynfier op sa'n manier meitsje dat de sturt fan 'e gegevens oan 'e bûtenkant fan 'e tawiisde buffer skreaun wurdt. It wurdt opmurken dat nettsjinsteande de kompleksiteit fan it eksploitearjen fan 'e kwetsberens, it bringen fan it probleem nei koade-útfiering is net útsletten.
De reparaasje is publisearre as in patch. De status fan kwetsberensreparaasjes yn distribúsjes kin wurde beoardiele op dizze siden: Ubuntu, SUSE, RHEL, Fedora, DebianIt oplossen fan GRUB2-problemen fereasket mear as allinich it bywurkjen fan it pakket; it fereasket ek it generearjen fan nije ynterne digitale hantekeningen en it bywurkjen fan ynstallearders, bootloaders, kernelpakketten, fwupd-firmware en de shim-laach.
Yn 'e measte LinuxDistribúsjes foar ferifiearre opstarten yn UEFI Secure Boot-modus brûke in lytse shim-laach, digitaal ûndertekene troch Microsoft. Dizze laach ferifiearret GRUB2 mei syn eigen sertifikaat, wêrtroch't distribúsjeûntwikkelders Microsoft net hoege te ynformearjen oer elke kernel- en GRUB-update. Kwetsberens yn GRUB2 meitsje it mooglik om willekeurige koade út te fieren nei suksesfolle shim-ferifikaasje, mar foardat it bestjoeringssysteem opstart. Dit lit oanfallers ynbrekke yn 'e fertrouwensketen as Secure Boot ynskeakele is en folsleine kontrôle krije oer it folgjende opstartproses, ynklusyf it opstarten fan in oar bestjoeringssysteem, it wizigjen fan bestjoeringssysteemkomponinten en it omgean fan Lockdown-beskerming.
Om de kwetsberens te blokkearjen sûnder de digitale hântekening yn te lûken, kinne distribúsjes it SBAT (UEFI Secure Boot Advanced Targeting) meganisme brûke, wêrfoar stipe ymplementearre is foar GRUB2, shim en fwupd yn de measte populêre distribúsjes. LinuxSBAT is ûntwikkele yn gearwurking mei Microsoft en omfettet it tafoegjen fan ekstra metadata oan útfierbere bestannen fan UEFI-komponinten, ynklusyf ynformaasje oer de fabrikant, it produkt, de komponint en de ferzje. Dizze metadata is digitaal ûndertekene en kin apart opnommen wurde yn 'e listen fan tastiene of wegere komponinten foar UEFI Secure Boot.
SBAT lit jo it gebrûk fan digitale hantekeningen foar yndividuele ferzjenûmers fan komponinten blokkearje sûnder kaaien foar Secure Boot yn te lûken. Blokkearjen fan kwetsberens fia SBAT fereasket net it gebrûk fan in UEFI-sertifikaat weromlûkingslist (dbx), mar wurdt útfierd op it nivo fan it ferfangen fan de ynterne kaai om hantekeningen te generearjen en GRUB2, shim en oare bootartefakten te aktualisearjen levere troch distribúsjes. Foar de yntroduksje fan SBAT wie it bywurkjen fan de sertifikaat weromlûkingslist (dbx, UEFI Revocation List) in betingst foar it folslein blokkearjen fan de kwetsberens, om't in oanfaller, nettsjinsteande it brûkte bestjoeringssysteem, bootbere media brûke koe mei in âlde kwetsbere ferzje fan GRUB2, sertifisearre troch in digitale hantekening, om UEFI Secure Boot te kompromittearjen.
Boarne: opennet.ru
