Razvijači Fedora Linux razjasnili su situaciju vezanu uz isteka certifikata Microsofta krajem lipnja, koji se koristi za potpisivanje Shim sloja, koji se koristi za provjeru digitalnog potpisa Linux distribucija u UEFI Secure Boot režimu. Prijelaz na novi certifikat trebao bi proći neprimjetno za korisnike jer zapravo završetak vijeka trajanja certifikata dovodi samo do nemogućnosti njegove upotrebe za stvaranje novih potpisa. Tijekom pokretanja UEFI Secure Boot, vijek trajanja certifikata se ne provjerava i važan je samo opoziv kompromitiranih certifikata.
Postojeći sustavi bez instalacije ažuriranja shim nastavit će se pokretati sve dok javni ključ certifikata ne bude uklonjen iz firmware-a ili ne bude stavljen na popis opozvanih certifikata UEFI (DBX). Microsoftov ključ potpisuje samo Shim sloj za pokretanje, u kojem je prisutan javni ključ distribucije, koji se koristi za potpisivanje komponenti koje se učitavaju, kao što su GRUB2 bootloader, Linux jezgra, moduli jezgre i procesi korišteni pri pokretanju, kao što je fwupd. Ovakav pristup omogućava Microsoftu da potpisuje samo promjene u Shim sloju i samostalno osigura provjeru procesa pokretanja distribucije.
Microsoftov certifikat za potpisivanje trećih strana firmware-a za UEFI Secure Boot vrijedi od 2011. godine. U 2023. godini generiran je novi certifikat koji će se koristiti za formiranje potpisa od listopada 2025. godine. U repozitorij Fedora Rawhide, na temelju kojeg se formira Fedora 45, već je dodan ažurirani shim, potpisan s nekoliko ključeva kako bi se osigurala maksimalna kompatibilnost s hardverom (može se koristiti kako na starim firmware-ima bez javnog ključa novog certifikata, tako i na firmware-ima bez javnog ključa starog certifikata).
Iako istekao Microsoftov certifikat ne bi trebao utjecati na funkcionalnost pokretanja, Fedora programeri preporučuju korisnicima da nadograde bazu podataka s ključevima za Secure Boot kada se pojave nove verzije firmvera za njihovu opremu. Za utvrđivanje da li se sustav pokreće u režimu UEFI Secure Boot može se koristiti naredba „mokutil —sb-state”, a za prikaz popisa dostupnih otvorenih ključeva u firmveru — „mokutil —db —short”. Za pregled ključeva kojima je potpisana shim sloj može se pokrenuti naredba „sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi”, unaprijed instaliravši paket pesign. Za provjeru dostupnosti nadogradnje firmvera i njezine instalacije može se izvršiti naredba „sudo fwupdmgr update.”
Sljedeća verzija shim sloja bit će ovjerena samo novim Microsoftovim certifikatom, a nadogradnja firmvera je nužna za pripremu vaših sustava za ovu promjenu. Nadogradnja shim-a bit će izdana u slučaju otkrivanja ranjivosti i ozbiljnih grešaka, što se može dogoditi za mjesec dana ili za godinu. Tijekom postojanja shim projekta otkrivene su kritične ranjivosti, a posljednji izvještaj o sigurnosnim problemima u shim-u objavljen je tek prije nekoliko dana.
Izvještaj ističe dvije nedavno otkrivene ranjivosti CVE-2026-8863 i
CVE-2026-10797, koje omogućuju izvršavanje vlastitog koda u rano pokretanje prije nego što se kontrola predaje operativnom sustavu, zaobilaženje zaštite UEFI Secure Boot i omogućavanje pokretanja neovjerenih digitalno potpisanih komponenti jezgre. Problemi se odnose na verzije shim-a do verzije 0.9 uključivo, formirane do 2016. godine. Stare sustave kao što su
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 i openSUSE sa shim-om 0.9 su podložni napadu. Shim slojevi do verzije 0.9 uključivo dodani su u bazu opozvanih digitalnih potpisa DBX (UEFI Forbidden Signature Database) i u slučaju ažuriranja DBX-a u sustavu neće moći koristiti za pokretanje u režimu UEFI Secure Boot.
Izvor: opennet.ru
