A Fedora Linux fejlesztői tisztázták a június végén lejáró Microsoft tanúsítvány körüli helyzetet, amelyet a Shim réteg digitális aláírásának hitelesítésére használnak, amely a Linux disztribúciók UEFI Secure Boot módban történő ellenőrzött indításához szükséges. Az új tanúsítványra való áttérésnek észrevétlenül kell zajlania a felhasználók számára, mivel a tanúsítvány élettartamának lejárta csupán annyit jelent, hogy új aláírásokat nem lehet létrehozni. Az UEFI Secure Boot indításakor a tanúsítvány érvényességét nem ellenőrzik, és csak a kompromittált tanúsítványok visszavonása számít.
A meglévő rendszerek, frissítés nélkül a shim telepítéséhez, továbbra is elindulnak, amíg a tanúsítvány nyilvános kulcsát el nem távolítják a firmware-ből, vagy a tanúsítványokat UEFI (DBX) visszavont listájába nem helyezik. A Microsoft kulcsával csak a shim indító réteg van hitelesítve, amelyben a nyilvános kulcs van, amely a betöltött komponensek hitelesítésére szolgál, mint például a GRUB2 indító, a Linux kernel, a kernel modulok és a betöltés során használt folyamatok, mint a fwupd. Ez a megközelítés lehetővé teszi, hogy a Microsoft csak a shim rétegben bekövetkezett változásokat hitelesítse, és saját maguk biztosítsák a disztribúció betöltési folyamatának ellenőrzését.
A Microsoft tanúsítványa, amely a harmadik féltől származó firmware-eket hitelesíti az UEFI Secure Boot számára, 2011 óta érvényes. 2023-ban új tanúsítványt generáltak, amelyet 2025 októberétől használnak az aláírások létrehozásához. A Fedora Rawhide repóban, amely a Fedora 45 kiadásának alapját képezi, már hozzáadták a frissített shim réteget, amelyet több kulcs hitelesít, biztosítva a maximális kompatibilitást a hardverrel (használható régi firmware-eknél, ahol az új tanúsítvány nyilvános kulcsa nincs jelen, valamint a régi tanúsítvány nyilvános kulcsával nem rendelkező firmware-eknél is).
Bár a Microsoft tanúsítványának lejárta nem befolyásolja a betöltés működését, a Fedora fejlesztői javasolják, hogy a felhasználók frissítsék a Secure Boot kulcsait tartalmazó adatbázist, amikor új firmware verziók jelennek meg a berendezéseikhez. A rendszer UEFI Secure Boot üzemmódban történő betöltésének ellenőrzésére használhatja a 'mokutil —sb-state' parancsot, a firmware-ben elérhető nyílt kulcsok listájának megjelenítésére pedig a 'mokutil —db —short' parancsot. A shim réteg által használt kulcsok megtekintéséhez futtassa a 'sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi' parancsot, miután telepítette a pesign csomagot. A firmware frissítésének ellenőrzésére és telepítésére a 'sudo fwupdmgr update' parancs használható.
A következő shim réteg verziót kizárólag új Microsoft tanúsítvánnyal fogják hitelesíteni, és a firmware frissítése szükséges a rendszereik felkészítéséhez erre a változásra. A shim frissítése a sebezhetőségek és súlyos hibák felfedezése esetén fog megjelenni, ami előfordulhat akár egy hónapon belül, akár egy éven belül. A shim létezése során kritikus sebezhetőségeket találtak, miközben az utolsó biztonsági problémákról szóló jelentést mindössze néhány nappal ezelőtt adták ki.
A jelentésben két nemrég felfedezett sebezhetőség szerepel: CVE-2026-8863 és
CVE-2026-10797, amelyek lehetővé teszik, hogy a kódja a betöltés korai szakaszában végrehajtódjon, mielőtt a vezérlést átnyújtanák az operációs rendszernek, megkerüljék az UEFI Secure Boot védelmét, és nem hitelesített digitális aláírással rendelkező kernel komponensek betöltését valósítsák meg. A problémák a shim 0.9 verziójáig tartó verzióit érintik, amelyek 2016 előtt készültek. A támadásnak kitett rendszerek közé tartozik
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 és openSUSE shim 0.9-szel. A shim rétegek 0.9 verziója és az alatta lévők hozzá lettek adva a visszavont digitális aláírások adatbázisához (DBX - UEFI Forbidden Signature Database), és a DBX frissítése esetén a rendszer nem használható UEFI Secure Boot üzemmódban való betöltéshez.
Forrás: opennet.ru
