Nell'aggiornamento rilasciato martedì da Microsoft è emerso un problema che impedisce il caricamento dei sistemi Linux installati sullo stesso computer in parallelo a Windows. La causa di questo problema è una correzione mirata a risolvere una vecchia vulnerabilità (CVE-2022-2601) nel bootloader GRUB, corretta nel 2022. Microsoft non ha ancora rilasciato dichiarazioni riguardo al problema emerso e non l'ha commentato.
La nota relativa alla modifica indicava che la correzione, che garantisce l'implementazione della nuova politica SBAT (UEFI Secure Boot Advanced Targeting), sarà applicata ai sistemi che utilizzano esclusivamente Windows e non influenzerà le configurazioni con avvio duale (la modifica bloccava la possibilità di utilizzare immagini di avvio con il vecchio GRUB per aggirare il Secure Boot sui sistemi in cui è installato solo Windows). È stato inoltre indicato che la modifica potrebbe causare problemi con il caricamento delle immagini ISO di vecchi sistemi, forniti con una versione vulnerabile di GRUB. In effetti, i problemi si sono manifestati anche per gli utenti di sistemi con avvio duale che utilizzano nuove distribuzioni Linux come Ubuntu 24.04 e Debian 12.6, in cui la vulnerabilità in GRUB è stata corretta da tempo.
Il problema si manifesta con l'arresto del processo di avvio e il messaggio "Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation". Per ripristinare il funzionamento, si consiglia di rimuovere i dati SBAT impostati nel UEFI, per farlo si può disattivare il Secure Boot nel firmware, avviare un nuovo sistema operativo Linux con supporto per UEFI Secure Boot, come Ubuntu, e quindi eseguire nel terminale il comando "mokutil —set-sbat-policy delete", dopodiché riavviare il sistema Linux per applicare la corretta politica SBAT. Dopo questo, è possibile ripristinare la modalità Secure Boot nel firmware.
Il meccanismo SBAT è stato sviluppato da Red Hat in collaborazione con Microsoft per bloccare le vulnerabilità nel caricatore GRUB e nello strato shim senza revocare la firma digitale. SBAT implica l'aggiunta di metadati esecutivi ai file dei componenti UEFI, i quali includono informazioni su produttore, prodotto, componente e versione. I metadati specificati sono firmati digitalmente e possono essere inclusi separatamente nelle liste di componenti autorizzati o vietati per il Secure Boot UEFI. SBAT consente di bloccare l'uso della firma digitale per numeri di versione specifici dei componenti senza la necessità di revocare le chiavi per il Secure Boot.
Il blocco delle vulnerabilità tramite SBAT non richiede l'uso dell'elenco dei certificati UEFI revocati (dbx), ma avviene a livello di sostituzione della chiave interna per la generazione di firme e l'aggiornamento di GRUB2, shim e altri artefatti di avvio forniti dai rispettivi distributori. Prima dell'implementazione di SBAT, l'aggiornamento dell'elenco dei certificati revocati (dbx, UEFI Revocation List) era una condizione necessaria per il blocco completo della vulnerabilità, dato che un attaccante, indipendentemente dal sistema operativo utilizzato, poteva compromettere UEFI Secure Boot utilizzando un supporto di avvio con una vecchia versione vulnerabile di GRUB2, firmata digitalmente.
Fonte: opennet.ru
