Kibocsátották a GRUB2 betöltő 6 sebezhetőségének javítását szolgáló javítókészletet, amelyek többsége memóriahozzáférési problémához vezet (use-after-free). A potenciálisan felfedezett problémákat az UEFI Secure Boot hitelesített betöltési mechanizmusának megkerülésére lehet felhasználni. A sebezhetőségek elhárításának állapotát a következő disztribúciók esetében lehet értékelni: Debian, Ubuntu, SUSE, RHEL, Arch és Fedora. A GRUB2 problémáinak megoldásához nem elegendő csupán a csomag frissítése, új belső digitális aláírásokat kell létrehozni, és frissíteni kell az telepítőket, betöltőket, kernelcsomagokat, fwupd firmware-t és a shim réteget.
Feltárt sebezhetőségek:
- CVE-2025-61661 — túlcsordulás a grub_usb_get_string() funkcióban, amely kihasználható az UTF-8 és UTF-16 kódolású karakterláncok feldolgozása során USB-eszközök csatlakoztatásakor. A probléma abból adódik, hogy a puffert az USB-eszköz első üzenetében megadott karakterlánc hossza alapján alakították ki, míg a kódolás átalakításához szükséges méretet a későbbi olvasási műveletek alapján számolták. Ennek következtében a támadáshoz módosított USB-eszköz használható, amely eredetileg alacsonyabb méretértéket ad vissza.
- CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — a 'normal', 'normal_exit', 'net_set_vlan' és 'gettext' parancskezelők törlésének hiánya a 'normal', 'net' és 'gettext' modulok kiürítésekor, amely a memória után való hozzáférés (use-after-free) feltételeit teremtette meg, ha a megjelölt parancsokat a megfelelő modulok kiürítése után hajtják végre. Hasonló sebezhetőségeket találtak a 'functional_test' és 'all_functional_test' parancsoknál is, de ezek nem kaptak CVE-azonosítót, mivel ezek a parancsok a teszt könyvtár részei és nem kellene munkakörnyezetbe kerülniük.
- CVE-2025-54771 — hiba a 'fs' struktúrák hivatkozásainak számolásában a grub_file_close() funkcióban, amely memóriahozzáféréshez (use-after-free) vezet.
A legtöbb Linux disztribúcióban az UEFI Secure Boot ellenőrzött indításához egy kis shim réteg használatos, amelyet a Microsoft digitális aláírása hitelesít. Ez a réteg a saját tanúsítványával ellenőrzi a GRUB2-t, lehetővé téve a disztribúciók fejlesztői számára, hogy ne kelljen minden kernel- és GRUB-frissítést Microsoft-hitelesíteni. A GRUB2 sebezhetőségei lehetővé teszik, hogy kódot hajtsanak végre a shim sikeres ellenőrzése után, de az operációs rendszer betöltése előtt, behatolva a bizalom láncába aktív Secure Boot üzemmódban, és teljes ellenőrzést megszerezve a további betöltési folyamatról, például más operációs rendszer betöltéséről, az operációs rendszer összetevőinek módosításáról és a Lockdown védelem megkerüléséről.
A sebezhetőség visszavonása nélküli blokkolásához a disztribúciók használhatják az SBAT mechanizmust (UEFI Secure Boot Advanced Targeting), amelynek támogatása a GRUB2-re, shim-re és fwupd-re a legtöbb népszerű Linux disztribúcióban megvalósult. Az SBAT-ot a Microsoft együttműködésével fejlesztették ki, és plusz metaadaták hozzáadását jelenti az UEFI komponensek végrehajtható fájljaihoz, amelyek tartalmazzák a gyártóról, termékről, komponensről és verzióról szóló információkat. Ezek a metaadatok digitális aláírással hitelesítettek, és külön-külön is szerepelhetnek az UEFI Secure Boot engedélyezett vagy tiltható komponenseinek listáján.
Az SBAT lehetővé teszi a digitális aláírás blokkolását a komponensek egyes verziószámaihoz anélkül, hogy szükség lenne a Secure Boot kulcsok visszavonására. A sebezhetőségek SBAT útján történő blokkolása nem igényli az UEFI visszavont tanúsítványainak listájának (dbx) használatát, hanem a belső kulcs cseréjének szintjén történik a GRUB2, shim és más, disztribúciók által szállított betöltő artefaktumok aláírásához és frissítéséhez. Az SBAT bevezetése előtt a visszavont tanúsítványok listájának (dbx, UEFI Revocation List) frissítése kötelező feltétele volt a sebezhetőség teljes blokkolásának, mivel a támadó, függetlenül a használt operációs rendszertől, egy régi sebezhető GRUB2 verzióval rendelkező boot közeg használatával tudta kompromittálni az UEFI Secure Boot-ot, amelyet digitális aláírás hitelesített.
Forrás: opennet.ru
