V aktualizácii operačného systému Windows, ktorú v utorok vydala spoločnosť Microsoft, bola zistená chyba, ktorá spôsobuje nemožnosť spustenia Linuxových systémov inštalovaných na tom istom počítači paralelne s Windows. Príčinou problémov je oprava zameraná na odstránenie starej zraniteľnosti (CVE-2022-2601) v bootloaderi GRUB, ktorá bola opravená v roku 2022. Spoločnosť Microsoft zatiaľ neposkytla žiadne vyhlásenia týkajúce sa vzniknutého problému a nijako ho nekomentovala.
V poznámke k zmene sa uvádzalo, že oprava, ktorá zabezpečuje zavedenie novej politiky SBAT (UEFI Secure Boot Advanced Targeting), bude aplikovaná na systémy, ktoré používajú iba Windows a nebude sa dotýkať konfigurácií s dvojitým spúšťaním (změna zablokovala možnosť používať bootovacie obrazy so starým GRUB na obídenie Secure Boot na systémoch, na ktorých je nainštalovaný iba Windows). Tiež sa uvádzalo, že táto zmena môže spôsobiť problémy so spúšťaním iso obrazov starých systémov dodávaných s zraniteľnou verziou GRUB. V praxi sa problémy prejavili aj u používateľov systémov s dvojitým spúšťaním, ktorí používajú nové distribúcie Linuxu, ako sú Ubuntu 24.04 a Debian 12.6, v ktorých bola zraniteľnosť v GRUB dávno opravená.
Problém sa prejavuje zastavením procesu spúšťania s výstupným hlásením „Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation“. Ako spôsob obnovenia prevádzky sa odporúča odstrániť nainštalované údaje SBAT v UEFI, preto je možné vypnúť Secure Boot v predvoľbách, načítať aktuálny Linuxový distribučný systém s podporou UEFI Secure Boot, napríklad Ubuntu, vykonať v konzole príkaz „mokutil —set-sbat-policy delete“, a potom reštartovať Linuxový distribučný systém na nastavenie správnej politiky SBAT. Následne je možné vrátiť režim Secure Boot v predvoľbách.
Mechanizmus SBAT bol vyvinutý spoločnosťou Red Hat v spolupráci s Microsoftom na blokovanie zraniteľností v boot manageri GRUB a v shim vrstve bez potreby odvolania digitálnych podpisov. SBAT zahŕňa pridanie dodatočných metadát do vykonateľných súborov komponentov UEFI, ktoré obsahujú informácie o výrobcovi, produkte, komponente a verzii. Uvedené metadáta sú digitálne podpísané a môžu byť samostatne zahrnuté do zoznamov povolených alebo zakázaných komponentov pre UEFI Secure Boot. SBAT umožňuje blokovanie použitia digitálneho podpisu pre jednotlivé čísla verzií komponentov bez nutnosti odvolať kľúče pre Secure Boot.
Blokovanie zraniteľností pomocou SBAT nevyžaduje používanie zoznamu odvolaných certifikátov UEFI (dbx), ale prebieha na úrovni výmeny interného kľúča na tvorbu podpisov a aktualizáciu GRUB2, shim a ďalších dodávaných bootovacích artefaktov. Pred zavedením SBAT bolo aktualizovanie zoznamu odvolaných certifikátov (dbx, UEFI Revocation List) povinnou podmienkou na úplné blokovanie zraniteľnosti, pretože útočník, bez ohľadu na používaný operačný systém, mohol na kompromitáciu UEFI Secure Boot použiť bootovacie médium so starou zraniteľnou verziou GRUB2, podpísanou digitálnym podpisom.
Zdroj: opennet.ru
