Bol zverejnený súbor patchov na odstránenie 6 zraniteľností v GRUB2 bootloaderi, pričom väčšina z nich vedie k prístupu k pamäti po jej uvoľnení (use-after-free). Potenciálne odhalené problémy môžu byť využité na obídenie systému overenej bootovania UEFI Secure Boot. Stav odstránenia zraniteľností v distribúciách sa dá posúdiť na nasledujúcich stránkach: Debian, Ubuntu, SUSE, RHEL, Arch a Fedora. Na odstránenie problémov v GRUB2 nestačí len aktualizovať balík, je potrebné tiež vytvoriť nové vnútorné digitálne podpisy a aktualizovať inštalátory, bootloade, balíky s jadrom, fwupd firmvér a shim vrstvu.
Odhalené zraniteľnosti:
- CVE-2025-61661 — zápis mimo prideleného bufferu v funkcii grub_usb_get_string(), ktorá môže byť zneužitá pri spracovaní reťazcov v kódovaní UTF-8 a UTF-16, prenášaných pri pripojení USB zariadení. Problém vzniká tým, že buffer bol pridelený na základe veľkosti reťazca uvedenej v prvom správe od USB zariadenia, pričom veľkosť pri vykonávaní konverznej operácie bola vypočítaná na základe nasledujúcich operácií čítania z USB zariadenia. Na útok je teda možné použiť modifikované USB zariadenie, ktoré pôvodne vracia zníženú hodnotu veľkosti.
- CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — nedostatočné vyčistenie vykonávacích príkazov “normal”, “normal_exit”, “net_set_vlan” a “gettext” pri uvoľnení modulov “normal”, “net” a “gettext”, vytvárajúce podmienky na prístup k pamäti po jej uvoľnení (use-after-free) v prípade vykonania označených príkazov po uvoľnení príslušných modulov. Podobné zraniteľnosti boli takisto nájdené pre príkazy “functional_test” a “all_functional_test”, no neboli im pridelené CVE identifikátory, pretože tieto príkazy sú súčasťou testovacej knižnice a nemali by byť zahrnuté do pracovných zostáv.
- CVE-2025-54771 — chyba pri počítaní referencií na štruktúry “fs” v funkcii grub_file_close(), vedúca k prístupu k pamäti po jej uvoľnení (use-after-free).
Vo väčšine Linux distribúcií sa na overenú bootovanie v režime UEFI Secure Boot používa malá vrstva shim, ktorá je certifikovaná digitálnym podpisom spoločnosti Microsoft. Táto vrstva overuje GRUB2 vlastným certifikátom, čo umožňuje vývojárom distribúcií netransferovať každú aktualizáciu kernela a GRUB do spoločnosti Microsoft. Zraniteľnosti v GRUB2 umožňujú vykonanie vlastného kódu v štádiu po úspešnom overení shim, ale pred načítaním operačného systému, čím sa preniká do reťazca dôvery pri aktívnom režime Secure Boot a získava sa úplná kontrola nad ďalším procesom spúšťania, napríklad na načítanie iného OS, modifikáciu komponentov operačného systému a obídenie ochrany Lockdown.
Na blokovanie zraniteľností bez odvolania digitálneho podpisu môžu distribúcie používať mechanizmus SBAT (UEFI Secure Boot Advanced Targeting), ktorého podpora je implementovaná pre GRUB2, shim a fwupd vo väčšine populárnych distribúcií Linuxu. SBAT bol vyvinutý v spolupráci s Microsoftom a znamená prídavok do spustiteľných súborov komponentov UEFI ďalších metadát, ktoré obsahujú informácie o výrobca, produkte, komponente a verzii. Uvedené metadata sú digitálne podpísané a môžu byť samostatne zahrnuté do zoznamov povolených alebo zakázaných komponentov pre UEFI Secure Boot.
SBAT umožňuje blokovať používanie digitálneho podpisu pre jednotlivé verzie komponentov bez potreby odvolať kľúče pre Secure Boot. Blokovanie zraniteľností cez SBAT nevyžaduje použitie zoznamu odvolaných certifikátov UEFI (dbx), ale realizuje sa na úrovni nahradenia interného kľúča na vytváranie podpisov a aktualizáciu GRUB2, shim a ďalších dodávaných distribuovaných boot artefaktov. Pred zavedením SBAT bolo aktualizovanie zoznamu odvolaných certifikátov (dbx, UEFI Revocation List) nevyhnutnou podmienkou pre úplné blokovanie zraniteľnosti, pretože útočník, bez ohľadu na použitý operačný systém, mohol na kompromitáciu UEFI Secure Boot použiť bootovací nosič so starou zraniteľnou verziou GRUB2, certifikovanú digitálnym podpisom.
Zdroj: opennet.ru
