A Microsoft által kedden kiadott Windows operációs rendszer frissítésében egy probléma merült fel, amely megakadályozza a Linux rendszerek bootolását, amelyek ugyanazon a gépen párhuzamosan vannak telepítve Windows-szal. A problémát egy régi sebezhetőség (CVE-2022-2601) kiküszöbölésére irányuló javítás okozza, amely a GRUB bootloaderben került kijavításra 2022-ben. A Microsoft eddig nem adott ki hivatalos nyilatkozatot a felmerült hibával kapcsolatban, és nem kommentálta azt.
A módosítás megjegyzésében szerepelt, hogy a javítást, amely biztosítja az új SBAT politika (UEFI Secure Boot Advanced Targeting) alkalmazását, olyan rendszerekre fogják alkalmazni, ahol csak Windows működik, és nem érinti a dupla boot konfigurációkat (a módosítás blokkolta a régi GRUB bootolási képek használatát a Secure Boot megkerülésére olyan rendszereken, ahol csak Windows van telepítve). Azt is jelezték, hogy ez a módosítás problémákat okozhat a régi rendszerek ISO képeinek bootolásában, amelyeket sebezhető GRUB verzióval szállítottak. Valójában a problémák a dupla boot rendszereken is megjelentek, ahol új Linux disztribúciókat használnak, mint az Ubuntu 24.04 és a Debian 12.6, amelyekben a GRUB sebezhetősége már régóta ki lett javítva.
A probléma a boot folyamat leállításával jelentkezik, a következő üzenettel: „Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation”. A működés helyreállításának módjaként ajánlott eltávolítani az UEFI-ben tárolt SBAT adatokat, ezért le lehet tiltani a Secure Boot-ot a firmware-ben, el lehet indítani egy friss Linux disztribúciót, amely támogatja az UEFI Secure Boot-ot, például az Ubuntut, majd a konzolba be kell írni a „mokutil —set-sbat-policy delete” parancsot, ezt követően újra kell indítani a Linux disztribúciót a megfelelő SBAT politika telepítése érdekében. Ezután vissza lehet állítani a Secure Boot módot a firmware-ben.
Az SBAT mechanizmust a Red Hat és a Microsoft közösen fejlesztette ki a GRUB betöltő és a shim réteg sebezhetőségeinek blokkolására, anélkül, hogy visszavonták volna a digitális aláírást. Az SBAT magában foglalja a UEFI komponensek végrehajtható fájljaiba további metaadatok hozzáadását, amelyek tartalmazzák a gyártó, termék, komponens és verzió információját. A megadott metaadatokat digitális aláírás hitelesíti, és külön listákban szerepelhetnek engedélyezett vagy tiltottt komponensek számára a UEFI Secure Boot keretein belül. Az SBAT lehetővé teszi a digitális aláírás blokkolását a komponensek egyedi verziószámaihoz anélkül, hogy vissza kellene vonni a Secure Boot kulcsait.
A sebezhetőségek blokkolása az SBAT segítségével nem igényli a visszavont UEFI tanúsítványok (dbx) listájának használatát, hanem a belső kulcs helyettesítése révén történik a GRUB2, shim és más forgalmazott disztribúciók indító artefaktumaik aláírásának és frissítésének létrehozására. Az SBAT bevezetése előtt a visszavont tanúsítványok listájának (dbx, UEFI Revocation List) frissítése kötelező feltétele volt a sebezhetőség teljes blokkolásának, mivel a támadó, függetlenül a használt operációs rendszertől, felhasználhatta az UEFI Secure Boot kompromittálására egy régi, sebezhető GRUB2 verzióval aláírt indító médiát.
Forrás: opennet.ru
