Os desenvolvedores do Fedora Linux esclareceram a situação relacionada à expiração, no final de junho, do certificado da Microsoft utilizado para assinar digitalmente a camada Shim, que é usada para carregar distribuições Linux com verificação UEFI Secure Boot. A transição para um novo certificado deverá ocorrer sem que os usuários percebam, pois, na prática, o fim da vida útil do certificado resultará apenas na impossibilidade de usá-lo para criar novas assinaturas. Durante o carregamento com UEFI Secure Boot, a validade do certificado não é verificada e somente a revogação de certificados comprometidos é relevante.
Os sistemas existentes, sem a instalação da atualização shim, continuarão a funcionar até que a chave pública do certificado seja removida do firmware ou listada como revogada na lista de certificados UEFI (DBX). Somente a camada de carregamento shim da Microsoft é assinada, que contém a chave pública da distribuição usada para assinar os componentes carregados, como o carregador GRUB2, o núcleo Linux, módulos do núcleo e processos utilizados durante o carregamento, como o fwupd. Essa abordagem permite que a Microsoft assine apenas as alterações na camada shim e assegure a verificação do processo de carregamento da distribuição de forma independente.
O certificado da Microsoft para a assinatura de firmwares de terceiros para UEFI Secure Boot está em vigor desde 2011. Em 2023, um novo certificado foi gerado para substituí-lo, que será utilizado para a assinatura a partir de outubro de 2025. O repositório Fedora Rawhide, a partir do qual a versão Fedora 45 é formada, já recebeu a atualização do shim, assinado por várias chaves para garantir a máxima compatibilidade com o hardware (pode ser utilizado tanto em firmwares antigos sem a chave pública do novo certificado quanto em firmwares sem a chave pública do antigo certificado).
Embora a expiração do certificado da Microsoft não deva afetar a funcionalidade de inicialização, os desenvolvedores do Fedora recomendam que os usuários atualizem o banco de dados com as chaves para o Secure Boot quando novas versões do firmware para seu hardware se tornarem disponíveis. Para verificar se o sistema está inicializando em modo UEFI Secure Boot, pode-se usar o comando "mokutil —sb-state", e para exibir a lista de chaves abertas disponíveis no firmware, o comando "mokutil —db —short". Para visualizar as chaves que assinam a camada shim, pode-se executar o comando "sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi", após instalar o pacote pesign. Para verificar a presença de atualizações do firmware e instalá-las, pode-se executar o comando "sudo fwupdmgr updatesegments."
A próxima versão da camada shim será assinada apenas com um novo certificado da Microsoft, e a atualização do firmware é necessária para preparar seus sistemas para essa mudança. A atualização do shim será lançada caso vulnerabilidades e erros graves sejam identificados, o que pode ocorrer tanto em um mês quanto em um ano. Desde a sua introdução, a shim tem apresentado vulnerabilidades críticas, e o último relatório sobre problemas de segurança com a shim foi emitido apenas alguns dias atrás.
O relatório destacou duas vulnerabilidades recém-identificadas, CVE-2026-8863 e
CVE-2026-10797, que permitem a execução de código no estágio inicial da inicialização, antes de transferir o controle para o sistema operacional, contornando a proteção do UEFI Secure Boot e permitindo a carga de componentes do kernel não assinados digitalmente. Os problemas afetam as versões do shim até a versão 0.9 inclusivamente, formadas antes de 2016. Sistemas muito antigos, como
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 e openSUSE com shim 0.9. As camadas shim até a versão 0.9 inclusivamente foram adicionadas à base de assinaturas digitais revogadas DBX (UEFI Forbidden Signature Database) e, caso o DBX seja atualizado, não poderão ser usadas para inicialização em modo UEFI Secure Boot.
Fonte: opennet.ru
