Nell'aggiornamento rilasciato martedì da Microsoft per il sistema operativo Windows è emerso un problema che impedisce l'avvio dei sistemi Linux installati sullo stesso computer insieme a Windows. La causa del problema è una correzione volta a risolvere una vecchia vulnerabilità (CVE-2022-2601) nel bootloader GRUB, risolta nel 2022. Microsoft non ha ancora pubblicato dichiarazioni riguardo l'errore emerso e non l'ha commentato.
Nel commento sul cambiamento si specificava che la correzione, che implementa una nuova politica SBAT (UEFI Secure Boot Advanced Targeting), sarà applicata ai sistemi che utilizzano solo Windows e non influenzerà le configurazioni a doppio avvio (la modifica bloccava la possibilità di utilizzare immagini di avvio con il vecchio GRUB per bypassare Secure Boot sui sistemi con Windows installato). Si segnalava inoltre che il cambiamento potrebbe causare problemi con il caricamento di immagini iso di vecchi sistemi forniti con una versione vulnerabile di GRUB. In realtà, i problemi si sono manifestati anche per gli utenti di sistemi a doppio avvio che utilizzano nuove distribuzioni Linux, come Ubuntu 24.04 e Debian 12.6, in cui la vulnerabilità in GRUB è stata a lungo risolta.
Il problema si manifesta con l'arresto del processo di avvio e l'output del messaggio «Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation». Come soluzione per ripristinare il funzionamento, si consiglia di rimuovere i dati SBAT installati in UEFI, disattivando Secure Boot nel firmware, caricando una nuova distribuzione Linux compatibile con UEFI Secure Boot, ad esempio Ubuntu, e eseguendo nel terminale il comando «mokutil —set-sbat-policy delete», dopo di che è necessario riavviare la distribuzione Linux per impostare correttamente la politica SBAT. A questo punto è possibile ripristinare la modalità Secure Boot nel firmware.
Il meccanismo SBAT è stato sviluppato da Red Hat in collaborazione con Microsoft per bloccare le vulnerabilità nel bootloader GRUB e nello shim senza revocare la firma digitale. SBAT implica l'aggiunta di metadati ai file eseguibili dei componenti UEFI, che includono informazioni su produttore, prodotto, componente e versione. I metadati indicati sono firmati digitalmente e possono essere inclusi separatamente nell'elenco dei componenti consentiti o vietati per l'UEFI Secure Boot. SBAT consente di bloccare l'uso della firma digitale per singoli numeri di versione dei componenti senza la necessità di revocare le chiavi per il Secure Boot.
Il blocco delle vulnerabilità tramite SBAT non richiede l'uso dell'elenco di certificati revocati UEFI (dbx) ed avviene a livello di sostituzione della chiave interna per la generazione delle firme e l'aggiornamento di GRUB2, shim e altri artefatti di avvio forniti con le distribuzioni. Prima dell'implementazione di SBAT, l'aggiornamento dell'elenco di certificati revocati (dbx, UEFI Revocation List) era una condizione necessaria per un blocco completo delle vulnerabilità, poiché un attaccante, indipendentemente dal sistema operativo utilizzato, poteva compromettere l'UEFI Secure Boot utilizzando un supporto di avvio con una vecchia versione vulnerabile di GRUB2, firmata digitalmente.
Fonte: opennet.ru
