{"id":149133,"date":"2025-11-21T17:11:55","date_gmt":"2025-11-21T15:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/6-uyazvimostej-v-zagruzchike-grub2-pozvolyayushhih-obojti-uefi-secure-boot"},"modified":"2025-11-21T17:11:55","modified_gmt":"2025-11-21T15:11:55","slug":"6-uyazvimostej-v-zagruzchike-grub2-pozvolyayushhih-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/6-uyazvimostej-v-zagruzchike-grub2-pozvolyayushhih-obojti-uefi-secure-boot","title":{"rendered":"6 vulnerabilit\u00e0 nel bootloader GRUB2 che consentono di aggirare il UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato pubblicato un insieme di patch che risolvono 6 vulnerabilit\u00e0 nel bootloader GRUB2, la maggior parte delle quali porta a accesso alla memoria dopo il suo rilascio (use-after-free). I problemi potenzialmente identificati possono essere utilizzati per bypassare il meccanismo di avvio verificato UEFI Secure Boot. Lo stato della risoluzione delle vulnerabilit\u00e0 nelle distribuzioni pu\u00f2 essere valutato sulle seguenti pagine: Debian, Ubuntu, SUSE, RHEL, Arch e Fedora. Per risolvere i problemi in GRUB2, non \u00e8 sufficiente aggiornare il pacchetto, \u00e8 necessario anche generare nuove firme digitali interne e aggiornare gli installer, i bootloader, i pacchetti del kernel, i firmware fwupd e il layer shim. <\/p>\n
Vulnerabilit\u00e0 identificate: <\/p>\n
\n
CVE-2025-61661 \u2014 scrittura oltre il buffer allocato nella funzione grub_usb_get_string(), che pu\u00f2 essere sfruttata durante l'elaborazione di stringhe codificate in UTF-8 e UTF-16, trasmesse durante il collegamento di dispositivi USB. Il problema \u00e8 causato dal fatto che il buffer \u00e8 stato allocato in base alla dimensione della stringa indicata nel primo messaggio dal dispositivo USB, mentre la dimensione durante la conversione della codifica \u00e8 stata calcolata in base alle successive operazioni di lettura dal dispositivo USB. Pertanto, per l'attacco \u00e8 possibile utilizzare un dispositivo USB modificato, che restituisce inizialmente un valore di dimensione sottostimato.\n
CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 \u2014 mancanza di pulizia dei gestori di comandi \u00abnormal\u00bb, \u00abnormal_exit\u00bb, \u00abnet_set_vlan\u00bb e \u00abgettext\u00bb durante il caricamento dei moduli \u00abnormal\u00bb, \u00abnet\u00bb e \u00abgettext\u00bb, creando condizioni per l'accesso alla memoria dopo che \u00e8 stata liberata (use-after-free) se vengono eseguite le comandi contrassegnate dopo il caricamento dei moduli corrispondenti. Vulnerabilit\u00e0 simili sono state trovate anche per le comandi \u00abfunctional_test\u00bb e \u00aball_functional_test\u00bb, ma non sono stati assegnati identificatori CVE, in quanto queste comandi fanno parte di una libreria di test e non dovrebbero essere incluse nelle versioni di produzione.\n
CVE-2025-54771 \u2014 errore nel conteggio dei riferimenti alle strutture \u00abfs\u00bb nella funzione grub_file_close(), che porta all'accesso alla memoria dopo che \u00e8 stata liberata (use-after-free). <\/ul>\n
In gran parte delle distribuzioni Linux, per il processo di avvio verificato in modalit\u00e0 UEFI Secure Boot viene utilizzato un piccolo layer shim, firmato digitalmente da Microsoft. Questo layer verifica GRUB2 con il proprio certificato, permettendo agli sviluppatori delle distribuzioni di non dover firmare ogni aggiornamento del kernel e di GRUB con Microsoft. Le vulnerabilit\u00e0 in GRUB2 consentono di eseguire codice personalizzato dopo una verifica riuscita del shim, ma prima del caricamento del sistema operativo, infiltrandosi nella catena di fiducia durante il funzionamento del Secure Boot e ottenendo il controllo completo sul successivo processo di avvio, ad esempio, per caricare un altro sistema operativo, modificare componenti del sistema operativo e bypassare la protezione Lockdown. <\/p>\n
Per bloccare la vulnerabilit\u00e0 senza revocare la firma digitale, i distributori possono utilizzare il meccanismo SBAT (UEFI Secure Boot Advanced Targeting), il cui supporto \u00e8 stato implementato per GRUB2, shim e fwupd nella maggior parte dei distribuiti Linux. SBAT \u00e8 stato sviluppato congiuntamente a Microsoft e implica l'aggiunta di metadati ai file eseguibili dei componenti UEFI, che includono informazioni sul produttore, prodotto, componente e versione. I metadati indicati sono firmati digitalmente e possono essere inclusi separatamente nelle liste di componenti consentiti o vietati per UEFI Secure Boot. <\/p>\n
SBAT consente di bloccare l'uso della firma digitale per singoli numeri di versione dei componenti senza dover revocare le chiavi per il Secure Boot. Il blocco delle vulnerabilit\u00e0 tramite SBAT non richiede l'uso dell'elenco dei certificati revocati UEFI (dbx), ma avviene a livello di sostituzione della chiave interna per la generazione delle firme e l'aggiornamento di GRUB2, shim e altri artefatti di avvio forniti dai pacchetti. Prima dell'implementazione di SBAT, l'aggiornamento dell'elenco dei certificati revocati (dbx, UEFI Revocation List) era una condizione necessaria per il blocco completo delle vulnerabilit\u00e0, poich\u00e9 un attaccante, indipendentemente dal sistema operativo utilizzato, poteva compromettere il Secure Boot UEFI utilizzando un supporto di avvio con una vecchia versione vulnerabile di GRUB2, certificata con una firma digitale. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"