{"id":104320,"date":"2022-06-08T15:36:43","date_gmt":"2022-06-08T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot"},"modified":"2022-06-08T15:36:43","modified_gmt":"2022-06-08T13:36:43","slug":"uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","title":{"rendered":"Luki w GRUB2, kt\u00f3re pozwalaj\u0105 na obej\u015bcie UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W loaderze GRUB2 naprawiono 7 podatno\u015bci, kt\u00f3re umo\u017cliwiaj\u0105 obej\u015bcie mechanizmu UEFI Secure Boot i uruchomienie niezweryfikowanego kodu, na przyk\u0142ad wprowadzenie z\u0142o\u015bliwego oprogramowania dzia\u0142aj\u0105cego na poziomie bootloadera lub j\u0105dra. Dodatkowo zidentyfikowano jedn\u0105 podatno\u015b\u0107 w warstwie shim, kt\u00f3ra r\u00f3wnie\u017c pozwala na omini\u0119cie UEFI Secure Boot. Grupa podatno\u015bci otrzyma\u0142a nazw\u0119 kodow\u0105 Boothole 3, podobnie jak wcze\u015bniejsze problemy z bootloaderem. <\/p>\n

Aby rozwi\u0105za\u0107 problemy w GRUB2 i shim, dystrybucje b\u0119d\u0105 mog\u0142y wykorzysta\u0107 mechanizm SBAT (UEFI Secure Boot Advanced Targeting), kt\u00f3rego wsparcie zosta\u0142o wdro\u017cone dla GRUB2, shim oraz fwupd. SBAT zosta\u0142 opracowany wsp\u00f3lnie z Microsoft i zak\u0142ada dodanie do plik\u00f3w wykonywalnych komponent\u00f3w UEFI dodatkowych metadanych, kt\u00f3re zawieraj\u0105 informacje o producencie, produkcie, komponencie i wersji. Wskazane metadane s\u0105 podpisywane cyfrowo i mog\u0105 by\u0107 osobno w\u0142\u0105czane do list komponent\u00f3w dozwolonych lub zabronionych dla UEFI Secure Boot. <\/p>\n

W wi\u0119kszo\u015bci dystrybucji Linuxa do zweryfikowanego uruchamiania w trybie UEFI Secure Boot u\u017cywa si\u0119 ma\u0142ej warstwy shim, podpisanej cyfrowo przez firm\u0119 Microsoft. Ta warstwa weryfikuje GRUB2 w\u0142asnym certyfikatem, co pozwala deweloperom dystrybucji unika\u0107 podpisywania ka\u017cdego aktualizowanego j\u0105dra i GRUB w Microsoft. Luki w GRUB2 pozwalaj\u0105 na wykonanie w\u0142asnego kodu na etapie po pomy\u015blnej weryfikacji shim, ale przed za\u0142adowaniem systemu operacyjnego, wkraczaj\u0105c w \u0142a\u0144cuch zaufania w aktywnym trybie Secure Boot, co daje pe\u0142n\u0105 kontrol\u0119 nad dalszym procesem uruchamiania, w tym nad uruchomieniem innego systemu operacyjnego, modyfikacj\u0105 komponent\u00f3w systemu operacyjnego i omijaniem zabezpiecze\u0144 Lockdown. <\/p>\n

Aby rozwi\u0105za\u0107 problemy w bootloaderze, dystrybucje b\u0119d\u0105 musia\u0142y utworzy\u0107 nowe wewn\u0119trzne podpisy cyfrowe oraz zaktualizowa\u0107 instalatory, bootloadery, pakiety j\u0105dra, firmware fwupd oraz warstw\u0119 shim. Przed wdro\u017ceniem SBAT, aktualizacja listy wycofanych certyfikat\u00f3w (dbx, UEFI Revocation List) by\u0142a obowi\u0105zkowym warunkiem ca\u0142kowitego zablokowania podatno\u015bci, poniewa\u017c atakuj\u0105cy, niezale\u017cnie od u\u017cywanego systemu operacyjnego, m\u00f3g\u0142 do kompromitacji UEFI Secure Boot u\u017cy\u0107 no\u015bnika rozruchowego ze star\u0105, podatn\u0105 wersj\u0105 GRUB2, certyfikowan\u0105 cyfrowym podpisem. <\/p>\n

Zamiast wycofywania podpisu, SBAT pozwala na blokowanie jego u\u017cycia dla konkretnych numer\u00f3w wersji komponent\u00f3w bez konieczno\u015bci wycofywania kluczy dla Secure Boot. Blokowanie podatno\u015bci poprzez SBAT nie wymaga korzystania z listy wycofanych certyfikat\u00f3w UEFI (dbx), a odbywa si\u0119 na poziomie zamiany wewn\u0119trznego klucza do generowania podpis\u00f3w oraz aktualizacji GRUB2, shim i innych dostarczanych przez dystrybucje artefakt\u00f3w rozruchowych. Obecnie wsparcie dla SBAT zosta\u0142o ju\u017c dodane do wi\u0119kszo\u015bci popularnych dystrybucji Linux. <\/p>\n

Zidentyfikowane luki: <\/p>\n