{"id":90288,"date":"2020-07-30T13:42:19","date_gmt":"2020-07-30T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-uyazvimost-v-zagruzchike-grub2-pozvolyayushhaya-obojti-uefi-secure-boot"},"modified":"2020-07-30T13:42:19","modified_gmt":"2020-07-30T11:42:19","slug":"kriticheskaya-uyazvimost-v-zagruzchike-grub2-pozvolyayushhaya-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/kriticheskaya-uyazvimost-v-zagruzchike-grub2-pozvolyayushhaya-obojti-uefi-secure-boot","title":{"rendered":"Kritieke kwetsbaarheid in de GRUB2 bootloader, die het mogelijk maakt om UEFI Secure Boot te omzeilen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In de GRUB2-loader gevonden<\/a><\/noindex> 8 kwetsbaarheden. De meest gevaarlijke een probleem<\/a><\/noindex> (CVE-2020-10713<\/a><\/noindex>), die de codenaam BootHole heeft gekregen, biedt de mogelijkheid<\/a><\/noindex> om het UEFI Secure Boot-mechanisme te omzeilen en ongetoetste kwaadaardige software te installeren. Een kenmerk van deze kwetsbaarheid is dat het niet voldoende is om GRUB2 bij te werken om deze te verhelpen, aangezien de aanvaller een opstartmedium met een oudere kwetsbare versie kan gebruiken, ondertekend met een digitale handtekening. De aanvaller kan het verificatieproces niet alleen voor Linux, maar ook voor andere besturingssystemen compromitteren, waaronder Windows<\/a><\/noindex>. <\/p>\n

Het probleem wordt alleen opgelost door het bijwerken in het systeem van de lijst met ingetrokken certificaten<\/a><\/noindex> (dbx, UEFI Revocation List), maar in dit geval gaat de mogelijkheid verloren om oude installatie-media met Linux te gebruiken. Sommige hardwarefabrikanten hebben al een bijgewerkte lijst met ingetrokken certificaten in hun firmware opgenomen, op dergelijke systemen kan alleen een bijgewerkte versie van Linux-distros worden opgestart in de UEFI Secure Boot-modus. <\/p>\n

Om de kwetsbaarheid in de distributies te verhelpen, is ook het bijwerken van installateurs, loaders, kernelpakketten, fwupd-firmware en de shim-laag vereist, waarbij nieuwe digitale handtekeningen voor hen moeten worden gegenereerd. Gebruikers moeten hun installatie-images en andere opstartmedia bijwerken en de lijst met ingetrokken certificaten (dbx) naar de UEFI-firmware uploaden. Totdat dbx in UEFI is bijgewerkt, blijft het systeem kwetsbaar, ongeacht of updates zijn ge\u00efnstalleerd in het besturingssysteem. <\/p>\n

Kwetsbaarheid is caused by<\/a><\/noindex> bufferoverloop, dat kan worden misbruikt om willekeurige code uit te voeren tijdens het opstartproces.
\nDe kwetsbaarheid doet zich voor wanneer de inhoud van het configuratiebestand grub.cfg wordt geanalyseerd, dat meestal in de ESP (EFI System Partition) staat en door een aanvaller met beheerdersrechten kan worden bewerkt zonder de integriteit van de ondertekende uitvoerbare bestanden van shim en GRUB2 te schenden. Vanwege fouten<\/a><\/noindex> een fout in de parsercode, gaf de foutafhandelaar YY_FATAL_ERROR alleen een waarschuwing weer, maar be\u00ebindigde het programma niet. Het gevaar van de kwetsbaarheid wordt verminderd door de noodzaak voor verhoogde rechten tot het systeem, desondanks kan het probleem gewild zijn voor het implementeren van verborgen rootkits bij fysieke toegang tot de hardware (als het mogelijk is om vanaf hun eigen medium op te starten).<\/p>\n

In de meeste Linux-distributies wordt een kleine shim-laag<\/a><\/noindex>, die digitaal is ondertekend door Microsoft, gebruikt voor veilige opstart. Deze laag verifieert GRUB2 met zijn eigen certificaat, waardoor ontwikkelaars van distributies niet elk kernel- en GRUB-update bij Microsoft hoeven te ondertekenen. De kwetsbaarheid stelt een aanvaller in staat om via wijziging van de inhoud van grub.cfg hun eigen code uit te voeren na succesvolle verificatie van de shim, maar v\u00f3\u00f3r het opstarten van het besturingssysteem, waardoor de vertrouwensketen in het actieve Secure Boot-modus kan worden binnengedrongen en volledige controle over het verdere opstartproces kan worden verkregen, inclusief het opstarten van een ander besturingssysteem, het wijzigen van besturingssysteemcomponenten en het omzeilen van beveiliging. Lockdown<\/a><\/noindex>. <\/p>\n

\"Kritieke<\/a><\/noindex><\/center><\/p>\n

Andere kwetsbaarheden in GRUB2:<\/p>\n