No atualização liberada na terça-feira pela Microsoft para o sistema operacional Windows, foi identificada um problema que impede a inicialização de sistemas Linux instalados no mesmo computador em paralelo ao Windows. A causa dos problemas é a correção que visa eliminar uma antiga vulnerabilidade (CVE-2022-2601) no carregador GRUB, consertada em 2022. A Microsoft ainda não publicou declarações sobre a falha ocorrida e não comentou sobre o assunto.
Na nota de alteração, foi mencionado que a correção, que garante a instalação da nova política SBAT (UEFI Secure Boot Advanced Targeting), será aplicada apenas em sistemas que utilizam apenas Windows e não afetará configurações de dual boot (a alteração bloqueou a capacidade de usar imagens de inicialização com o antigo GRUB para contornar o Secure Boot em sistemas onde apenas o Windows está instalado). Também foi indicado que a mudança pode causar problemas ao inicializar imagens ISO de sistemas antigos fornecidos com uma versão vulnerável do GRUB. Na prática, problemas surgiram também para usuários de sistemas de dual boot que utilizam novas distribuições Linux, como Ubuntu 24.04 e Debian 12.6, nas quais a vulnerabilidade no GRUB já foi corrigida há muito tempo.
O problema se manifesta com a interrupção do processo de inicialização, exibindo a mensagem "Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation". Como forma de restaurar a funcionalidade, é recomendável remover os dados SBAT instalados no UEFI, para o que pode-se desativar o Secure Boot no firmware, inicializar uma nova distribuição Linux com suporte ao UEFI Secure Boot, como o Ubuntu, executar no console o comando "mokutil —set-sbat-policy delete", e, em seguida, reiniciar a distribuição Linux para instalar a política SBAT correta. Depois disso, pode-se reativar o modo Secure Boot no firmware.
O mecanismo SBAT foi desenvolvido pela Red Hat em colaboração com a Microsoft para bloquear vulnerabilidades no carregador GRUB e na camada shim, sem revogar a assinatura digital. O SBAT implica a adição de metadados executáveis a componentes UEFI, que incluem informações sobre o fabricante, produto, componente e versão. Os metadados especificados são assinados digitalmente e podem ser incluídos em listas de componentes autorizados ou proibidos para o UEFI Secure Boot. O SBAT permite bloquear o uso de assinaturas digitais para versões específicas de componentes sem a necessidade de revogar chaves para o Secure Boot.
O bloqueio de vulnerabilidades através do SBAT não requer o uso da lista de certificados revogados UEFI (dbx) e é realizado em nível de substituição da chave interna para a formação de assinaturas e atualização do GRUB2, shim e outros artefatos de carregamento fornecidos por distribuições. Antes da implementação do SBAT, a atualização da lista de certificados revogados (dbx, UEFI Revocation List) era uma condição obrigatória para o bloqueio completo da vulnerabilidade, pois o atacante, independentemente do sistema operacional utilizado, poderia comprometer o UEFI Secure Boot utilizando uma mídia de inicialização com uma versão antiga e vulnerável do GRUB2, assinada digitalmente.
Fonte: opennet.ru
