Revelouse información sobre unha vulnerabilidade (CVE-2023-4001) en parches para o cargador de arranque GRUB2 preparado por Red Hat. A vulnerabilidade permite que moitos sistemas con UEFI eludan a comprobación de contrasinal definida en GRUB2 para restrinxir o acceso ao menú de arranque ou á liña de comandos do cargador de arranque. A vulnerabilidade é causada por un cambio engadido por Red Hat ao paquete GRUB2 enviado con RHEL e Fedora Linux. O problema non aparece no proxecto GRUB2 principal e só afecta ás distribucións que aplicaron parches adicionais de Red Hat.
O problema é causado por un erro na lóxica de como o UUID é usado polo cargador de arranque para atopar un dispositivo cun ficheiro de configuración (por exemplo, "/boot/efi/EFI/fedora/grub.cfg") que contén un contrasinal haxix. Para evitar a autenticación, un usuario con acceso físico ao ordenador pode conectar unha unidade externa, como un flash USB, axustándoa a un UUID que coincida co identificador da partición de arranque/arranque do sistema atacado.
Moitos sistemas UEFI procesan primeiro as unidades externas e colócanas na lista de dispositivos detectados antes que as unidades estacionarias, polo que a partición /boot preparada polo atacante terá maior prioridade de procesamento e, en consecuencia, GRUB2 tentará cargar o ficheiro de configuración desde esta partición. Cando se busca unha partición usando o comando "buscar" en GRUB2, só se determina a primeira coincidencia UUID, despois de que a busca detense. Se o ficheiro de configuración principal non se atopa nunha partición en particular, GRUB2 emitirá un símbolo do sistema que lle permitirá ter control total sobre o resto do proceso de arranque.
A utilidade "lsblk" pódese usar para determinar o UUID dunha partición por un usuario local sen privilexios, pero un usuario externo que non ten acceso ao sistema pero pode observar o proceso de arranque pode, nalgunhas distribucións, determinar o UUID a partir do diagnóstico. mensaxes mostradas durante o arranque. Red Hat solucionou a vulnerabilidade engadindo un novo argumento ao comando "buscar" que permite que a operación de exploración de UUID se ligue só a bloquear os dispositivos utilizados para executar o xestor de arranque (é dicir, a partición /boot só debe estar na mesma como a partición do sistema EFI).
Fonte: opennet.ru