{"id":90288,"date":"2020-07-30T13:42:19","date_gmt":"2020-07-30T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-uyazvimost-v-zagruzchike-grub2-pozvolyayushhaya-obojti-uefi-secure-boot"},"modified":"2020-07-30T13:42:19","modified_gmt":"2020-07-30T11:42:19","slug":"kriticheskaya-uyazvimost-v-zagruzchike-grub2-pozvolyayushhaya-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/kriticheskaya-uyazvimost-v-zagruzchike-grub2-pozvolyayushhaya-obojti-uefi-secure-boot","title":{"rendered":"Krytyczna luka w loaderze GRUB2, umo\u017cliwiaj\u0105ca omini\u0119cie UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W bootloaderze GRUB2 ujawniono<\/a><\/noindex> 8 podatno\u015bci. Najbardziej niebezpieczna problem<\/a><\/noindex> (CVE-2020-10713<\/a><\/noindex>), przydzielona nazw\u0105 kodow\u0105 BootHole, pozwala na<\/a><\/noindex> obej\u015bcie mechanizmu UEFI Secure Boot i na zainstalowanie niezweryfikowanego z\u0142o\u015bliwego oprogramowania. Cech\u0105 tej podatno\u015bci jest to, \u017ce nie wystarczy zaktualizowa\u0107 GRUB2, poniewa\u017c atakuj\u0105cy mo\u017ce u\u017cy\u0107 no\u015bnika rozruchowego ze star\u0105, podatn\u0105 wersj\u0105, podpisan\u0105 cyfrowo. Atakuj\u0105cy mo\u017ce skompromitowa\u0107 proces weryfikacji nie tylko systemu Linux, ale tak\u017ce innych system\u00f3w operacyjnych, w tym Windows<\/a><\/noindex>. <\/p>\n

Problem mo\u017cna rozwi\u0105za\u0107 jedynie aktualizuj\u0105c system list\u0119 odwo\u0142anych certyfikat\u00f3w<\/a><\/noindex> (dbx, UEFI Revocation List), ale w takim przypadku utracona zostanie mo\u017cliwo\u015b\u0107 korzystania ze starych no\u015bnik\u00f3w instalacyjnych z Linuksem. Niekt\u00f3rzy producenci sprz\u0119tu ju\u017c w\u0142\u0105czyli do swoich firmware'\u00f3w zaktualizowan\u0105 list\u0119 odwo\u0142anych certyfikat\u00f3w, na takich systemach w trybie UEFI Secure Boot b\u0119dzie mo\u017cna za\u0142adowa\u0107 tylko zaktualizowane wersje dystrybucji Linuksa. <\/p>\n

Aby usun\u0105\u0107 t\u0119 podatno\u015b\u0107 w dystrybucjach, konieczne b\u0119dzie r\u00f3wnie\u017c zaktualizowanie instalator\u00f3w, bootloader\u00f3w, pakiet\u00f3w j\u0105dra, firmware fwupd oraz warstwy shim, generuj\u0105c dla nich nowe podpisy cyfrowe. U\u017cytkownicy b\u0119d\u0105 musieli zaktualizowa\u0107 obrazy instalacyjne i inne no\u015bniki rozruchowe, a tak\u017ce za\u0142adowa\u0107 list\u0119 odwo\u0142anych certyfikat\u00f3w (dbx) do firmware'u UEFI. Dop\u00f3ki dbx w UEFI nie zostanie zaktualizowany, system pozostaje podatny, niezale\u017cnie od instalacji aktualizacji w OS. <\/p>\n

Luka jest spowodowany<\/a><\/noindex> przepe\u0142nieniem bufora, kt\u00f3re mo\u017ce by\u0107 wykorzystywane do wykonywania dowolnego kodu podczas rozruchu.
\nPodatno\u015b\u0107 wyst\u0119puje podczas analizy zawarto\u015bci pliku konfiguracyjnego grub.cfg, kt\u00f3ry zazwyczaj znajduje si\u0119 w sekcji ESP (EFI System Partition) i mo\u017ce by\u0107 edytowany przez atakuj\u0105cego, kt\u00f3ry ma uprawnienia administratora, bez naruszania integralno\u015bci podpisanych plik\u00f3w wykonywalnych shim i GRUB2. Z powodu b\u0142\u0119du<\/a><\/noindex> w kodzie parsera konfiguracji, obs\u0142uga krytycznych b\u0142\u0119d\u00f3w analizy YY_FATAL_ERROR jedynie wy\u015bwietla\u0142a ostrze\u017cenie, ale nie ko\u0144czy\u0142a pracy programu. Niebezpiecze\u0144stwo podatno\u015bci jest zmniejszone ze wzgl\u0119du na konieczno\u015b\u0107 posiadania uprawnie\u0144 do systemu, jednak problem ten mo\u017ce by\u0107 wykorzystany do wprowadzenia ukrytych rootkit\u00f3w, gdy istnieje fizyczny dost\u0119p do sprz\u0119tu (przy mo\u017cliwo\u015bci rozruchu z w\u0142asnego no\u015bnika).<\/p>\n

W wi\u0119kszo\u015bci dystrybucji Linuxa do weryfikacji rozruchu stosuje si\u0119 ma\u0142\u0105 warstw\u0119 shim<\/a><\/noindex>, zatwierdzon\u0105 podpisem cyfrowym Microsoft. Ta warstwa weryfikuje GRUB2 w\u0142asnym certyfikatem, co pozwala deweloperom dystrybucji nie zatwierdza\u0107 ka\u017cdej aktualizacji j\u0105dra i GRUB w Microsoft. Luka umo\u017cliwia poprzez zmian\u0119 zawarto\u015bci grub.cfg wykonanie w\u0142asnego kodu na etapie po pomy\u015blnej weryfikacji shim, ale przed za\u0142adowaniem systemu operacyjnego, w\u0142ama\u0107 si\u0119 w \u0142a\u0144cuch zaufania przy aktywnym trybie Secure Boot i uzyska\u0107 pe\u0142n\u0105 kontrol\u0119 nad dalszym procesem rozruchu, w tym r\u00f3wnie\u017c w celu za\u0142adowania innego systemu operacyjnego, modyfikacji komponent\u00f3w systemu operacyjnego i obej\u015bcia zabezpiecze\u0144. Lockdown<\/a><\/noindex>. <\/p>\n

\"Krytyczna<\/a><\/noindex><\/center><\/p>\n

Inne luki w GRUB2:<\/p>\n