Na camada Shim, utilizada na maioria das distribui\u00e7\u00f5es Linux para inicializa\u00e7\u00e3o verificada em modo UEFI Secure Boot, foi identificada uma vulnerabilidade (CVE-2023-40547) que pode levar \u00e0 execu\u00e7\u00e3o remota de c\u00f3digo e \u00e0 contorno do mecanismo de inicializa\u00e7\u00e3o verificada UEFI Secure Boot. Um atacante que controla o servidor HTTP acessado pelo Shim pode retornar uma resposta especialmente formatada, levando a uma grava\u00e7\u00e3o controlada fora dos limites do buffer para execu\u00e7\u00e3o de c\u00f3digo em um est\u00e1gio inicial da inicializa\u00e7\u00e3o. <\/p>\n
A vulnerabilidade \u00e9 causada por um erro no c\u00f3digo de carregamento de arquivos via HTTP, que se manifesta ao processar respostas incorretas retornadas pelo servidor HTTP ao qual o shim se conecta. O modo HTTPBoot no Shim \u00e9 suportado desde 2016 e permite organizar a inicializa\u00e7\u00e3o pela rede, usando o protocolo HTTP para obter o arquivo com o carregador, que ser\u00e1 chamado na pr\u00f3xima etapa. O Shim, ao carregar arquivos via HTTP, aloca um buffer para os dados recebidos, levando em conta n\u00e3o o tamanho real dos dados, mas o tamanho indicado no cabe\u00e7alho HTTP 'Content-Length'. Assim, retornando um valor menor no cabe\u00e7alho Content-Length, \u00e9 poss\u00edvel fazer com que o rabo da solicita\u00e7\u00e3o seja gravado na mem\u00f3ria al\u00e9m do buffer. <\/p>\n
O Shim \u00e9 assinado digitalmente pela Microsoft e verifica o GRUB2 com seu pr\u00f3prio certificado, permitindo que os desenvolvedores de distribui\u00e7\u00f5es n\u00e3o assinem cada atualiza\u00e7\u00e3o do kernel e do GRUB na Microsoft. A vulnerabilidade no Shim oferece a possibilidade de interferir na cadeia de confian\u00e7a durante o modo Secure Boot ativo e obter controle total sobre o processo de inicializa\u00e7\u00e3o subsequente, por exemplo, para iniciar outro sistema operacional, modificar componentes do sistema operacional e contornar a prote\u00e7\u00e3o Lockdown. <\/p>\n
A vulnerabilidade foi corrigida na vers\u00e3o 15.8 do Shim, mas para bloquear completamente o ataque atrav\u00e9s do Shim, uma nova vers\u00e3o precisa ser assinada pela Microsoft e implementada nas distribui\u00e7\u00f5es. O status da corre\u00e7\u00e3o da vulnerabilidade nas distribui\u00e7\u00f5es pode ser avaliado nas seguintes p\u00e1ginas: Debian, Ubuntu, SUSE, RHEL, Fedora. O problema \u00e9 que sem a revoga\u00e7\u00e3o da assinatura da vers\u00e3o antiga, a corre\u00e7\u00e3o \u00e9 in\u00fatil, uma vez que o atacante pode usar um meio de inicializa\u00e7\u00e3o com a vers\u00e3o vulner\u00e1vel do Shim para comprometer o UEFI Secure Boot. No entanto, a revoga\u00e7\u00e3o da assinatura levar\u00e1 \u00e0 impossibilidade de inicializa\u00e7\u00e3o verificada das distribui\u00e7\u00f5es que continuarem a usar a vers\u00e3o antiga do Shim. <\/p>\n
Para bloquear a vulnerabilidade sem revogar a assinatura digital, as distribui\u00e7\u00f5es podem usar o mecanismo SBAT (UEFI Secure Boot Advanced Targeting), cujo suporte \u00e9 implementado para GRUB2, shim e fwupd na maioria das distribui\u00e7\u00f5es populares do Linux. O SBAT foi desenvolvido em conjunto com a Microsoft e implica a adi\u00e7\u00e3o de metadados adicionais nos arquivos execut\u00e1veis dos componentes UEFI, que incluem informa\u00e7\u00f5es sobre o fabricante, produto, componente e vers\u00e3o. Esses metadados s\u00e3o assinados digitalmente e podem ser inclu\u00eddos separadamente nas listas de componentes permitidos ou bloqueados para o UEFI Secure Boot. <\/p>\n
O SBAT permite bloquear o uso de assinaturas digitais para vers\u00f5es espec\u00edficas dos componentes sem a necessidade de revogar chaves para o Secure Boot. O bloqueio de vulnerabilidades por meio do SBAT n\u00e3o requer o uso da lista de certificados revogados do UEFI (dbx), sendo realizado ao n\u00edvel da substitui\u00e7\u00e3o da chave interna para a forma\u00e7\u00e3o de assinaturas e atualiza\u00e7\u00e3o do GRUB2, shim e outros artefatos de inicializa\u00e7\u00e3o fornecidos pelas distribui\u00e7\u00f5es. <\/p>\n
Al\u00e9m da vulnerabilidade discutida, na vers\u00e3o 15.8 do Shim tamb\u00e9m foram corrigidos v\u00e1rios problemas menos graves explorados localmente: <\/p>\n