In de dinsdag door Microsoft uitgebrachte update voor het besturingssysteem Windows is een probleem ontdekt dat het opstarten van Linux-systemen, die parallel met Windows op dezelfde computer zijn geïnstalleerd, onmogelijk maakt. De oorzaak van de problemen is een patch die gericht is op het oplossen van een oude kwetsbaarheid (CVE-2022-2601) in de GRUB-bootloader, die in 2022 is opgelost. Microsoft heeft tot nu toe geen verklaringen of commentaar gegeven over de opgetreden storing.
In de opmerking bij de wijziging werd gesteld dat de patch, die een nieuwe SBAT-beleidsinstelling (UEFI Secure Boot Advanced Targeting) implementeert, zal worden toegepast op systemen die alleen Windows gebruiken en geen invloed zal hebben op dual-bootconfiguraties (de wijziging blokkeerde de mogelijkheid om opstartimages met de oude GRUB te gebruiken om Secure Boot te omzeilen op systemen die alleen Windows hadden geïnstalleerd). Daarnaast werd aangegeven dat de wijziging problemen kan veroorzaken bij het opstarten van ISO-images van oudere systemen die met een kwetsbare versie van GRUB worden geleverd. In werkelijkheid zijn de problemen ook zichtbaar bij gebruikers van dual-bootsystemen die nieuwe Linux-distributies gebruiken, zoals Ubuntu 24.04 en Debian 12.6, waarin de kwetsbaarheid in GRUB al lang is opgelost.
Het probleem manifesteert zich door het stoppen van het opstartproces met de melding "Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation." Als oplossing wordt aanbevolen om de in UEFI opgeslagen SBAT-gegevens te verwijderen, wat kan door Secure Boot in de firmware uit te schakelen, een recent Linux-distributie met ondersteuning voor UEFI Secure Boot te laden, zoals Ubuntu, de opdracht "mokutil —set-sbat-policy delete" uit te voeren in de console, en daarna de Linux-distributie opnieuw op te starten om het correcte SBAT-beleid in te stellen. Daarna kan de Secure Boot-modus in de firmware weer worden ingeschakeld.
Het SBAT-mechanisme is ontwikkeld door Red Hat in samenwerking met Microsoft om kwetsbaarheden in de GRUB-bootloader en de shim-laag te blokkeren zonder het intrekken van digitale handtekeningen. SBAT houdt in dat er extra metadata wordt toegevoegd aan de uitvoerbare bestanden van UEFI-componenten, die informatie bevatten over fabrikant, product, component en versie. De vermelde metadata worden ondertekend met een digitale handtekening en kunnen afzonderlijk worden opgenomen in lijsten van toegestane of geblokkeerde componenten voor UEFI Secure Boot. SBAT maakt het mogelijk om het gebruik van digitale handtekeningen voor specifieke versienummers van componenten te blokkeren zonder dat het nodig is om sleutels voor Secure Boot in te trekken.
Het blokkeren van kwetsbaarheden via SBAT vereist geen gebruik van de lijst met ingetrokken UEFI-certificaten (dbx), maar vindt plaats op het niveau van ontzering van de interne sleutel voor het genereren van handtekeningen en het updaten van GRUB2, shim en andere opstartartefacten die met distributies worden meegeleverd. Voor de implementatie van SBAT was het bijwerken van de lijst met ingetrokken certificaten (dbx, UEFI Revocation List) een noodzakelijke voorwaarde voor volledige blokkeringsmaatregelen tegen kwetsbaarheden, omdat een aanvaller, ongeacht het gebruikte besturingssysteem, een opstartmedium met een oude kwetsbare versie van GRUB2, ondertekend met een digitale handtekening, kon gebruiken om UEFI Secure Boot te compromitteren.
Bron: opennet.ru
