Sono state pubblicate informazioni su 21 vulnerabilità nel bootloader GRUB2, la maggior parte delle quali porta a overflow del buffer e possono essere utilizzate per eludere il meccanismo di verifica dell'avvio UEFI Secure Boot. I problemi sono attualmente risolti solo in forma di patch. Lo stato di risoluzione delle vulnerabilità nelle distribuzioni può essere valutato nelle seguenti pagine: Debian, Ubuntu, SUSE, RHEL, Fedora. Per risolvere i problemi in GRUB2 non è sufficiente aggiornare il pacchetto, è necessario anche generare nuove firme digitali interne e aggiornare gli installer, i bootloader, i pacchetti del kernel, i firmware fwupd e il layer shim.
Vulnerabilità identificate:
- CVE-2024-45774: scrittura oltre il limite del buffer durante l'analisi di immagini JPEG appositamente formattate.
- CVE-2024-45776, CVE-2024-45777: overflow integer durante la lettura di mo-file appositamente formattati, portando a scritture oltre il buffer.
- CVE-2024-45778, CVE-2024-45779: overflow integer durante l'interazione con un filesystem BFS corrotto, causando overflow del buffer.
- CVE-2024-45780: overflow integer durante l'elaborazione di archivi tar appositamente formattati, conducendo a scritture oltre il limite del buffer.
- CVE-2024-45781, CVE-2025-0677: overflow del buffer durante l'interazione con un filesystem UFS corrotto.
- CVE-2024-45782, CVE-2025-1125: overflow del buffer durante il montaggio di una partizione HFS appositamente formattata.
- CVE-2025-0622: accesso alla memoria dopo il suo rilascio durante la manipolazione dei moduli, può portare all'esecuzione di codice da parte dell'attaccante.
- CVE-2025-0624: overflow del buffer durante il boot da rete.
- CVE-2025-0678: overflow del buffer durante l'interazione con un filesystem Squash4 corrotto.
- CVE-2025-0684: overflow del buffer durante la manipolazione di link simbolici nel filesystem Reiserfs.
- CVE-2025-0685: overflow del buffer durante la manipolazione di link simbolici nel filesystem JFS.
- CVE-2025-0685: overflow del buffer durante la manipolazione di link simbolici nel filesystem ROMFS.
- CVE-2025-0689: overflow del buffer durante l'interazione con una partizione UDF appositamente modificata.
- CVE-2025-0690: overflow del buffer durante l'ottenimento di dati appositamente formattati dalla tastiera.
- CVE-2025-1118: elusione della modalità di isolamento Lockdown e estrazione di contenuti arbitrari dalla memoria tramite l'esecuzione del comando dump.
- CVE-2024-45775: mancanza di controllo del codice di errore durante l'allocazione di memoria durante l'analisi degli argomenti forniti può portare a danneggiamenti dei dati IVT (Interrupt Vector Table).
- CVE-2024-45783: access tramite puntatore nullo durante il montaggio di un file system HFS+ non valido.
In gran parte delle distribuzioni Linux, per il processo di avvio verificato in modalità UEFI Secure Boot viene utilizzato un piccolo layer shim, firmato digitalmente da Microsoft. Questo layer verifica GRUB2 con il proprio certificato, permettendo agli sviluppatori delle distribuzioni di non dover firmare ogni aggiornamento del kernel e di GRUB con Microsoft. Le vulnerabilità in GRUB2 consentono di eseguire codice personalizzato dopo una verifica riuscita del shim, ma prima del caricamento del sistema operativo, infiltrandosi nella catena di fiducia durante il funzionamento del Secure Boot e ottenendo il controllo completo sul successivo processo di avvio, ad esempio, per caricare un altro sistema operativo, modificare componenti del sistema operativo e bypassare la protezione Lockdown.
Per bloccare la vulnerabilità senza revocare la firma digitale, i distributori possono utilizzare il meccanismo SBAT (UEFI Secure Boot Advanced Targeting), il cui supporto è stato implementato per GRUB2, shim e fwupd nella maggior parte dei distribuiti Linux. SBAT è stato sviluppato congiuntamente a Microsoft e implica l'aggiunta di metadati ai file eseguibili dei componenti UEFI, che includono informazioni sul produttore, prodotto, componente e versione. I metadati indicati sono firmati digitalmente e possono essere inclusi separatamente nelle liste di componenti consentiti o vietati per UEFI Secure Boot.
SBAT consente di bloccare l'uso della firma digitale per singoli numeri di versione dei componenti senza dover revocare le chiavi per il Secure Boot. Il blocco delle vulnerabilità tramite SBAT non richiede l'uso dell'elenco dei certificati revocati UEFI (dbx), ma avviene a livello di sostituzione della chiave interna per la generazione delle firme e l'aggiornamento di GRUB2, shim e altri artefatti di avvio forniti dai pacchetti. Prima dell'implementazione di SBAT, l'aggiornamento dell'elenco dei certificati revocati (dbx, UEFI Revocation List) era una condizione necessaria per il blocco completo delle vulnerabilità, poiché un attaccante, indipendentemente dal sistema operativo utilizzato, poteva compromettere il Secure Boot UEFI utilizzando un supporto di avvio con una vecchia versione vulnerabile di GRUB2, certificata con una firma digitale.
Fonte: opennet.ru
