Boli zverejnené informácie o 21 zraniteľnosti v načítači GRUB2, z ktorých väčšina vedie k pretečeniu zásobníka a môže byť použitá na obídenie mechanizmu overenej agresívneho spustenia UEFI Secure Boot. Problémy boli zatiaľ opravené iba vo forme opráv. Stav odstránenia zraniteľností v distribúciách je možné posúdiť na nasledujúcich stránkach: Debian, Ubuntu, SUSE, RHEL, Fedora. Na odstránenie problémov v GRUB2 nestačí len aktualizovať balík, je taktiež potrebné vytvoriť nové vnútorné digitálne podpisy a aktualizovať inštalátory, zavádzače, balíky s jadrom, fwupd firmvér a shim prepojovací softvér.
Odhalené zraniteľnosti:
- CVE-2024-45774: zápis za hranicou zásobníka pri spracovávaní špeciálne upravených JPEG obrázkov.
- CVE-2024-45776, CVE-2024-45777: pretečenia celých čísel pri čítaní špeciálne upravených mo súborov, vedúce k zápisu za hranicou zásobníka.
- CVE-2024-45778, CVE-2024-45779: pretečenia celých čísel pri práci s poškodeným súborovým systémom BFS, vedúce k pretečeniu zásobníka.
- CVE-2024-45780: pretečenie celého čísla pri spracovaní špeciálne upravených tar archívov, vedúce k zápisu za hranicou zásobníka.
- CVE-2024-45781, CVE-2025-0677: pretečenia zásobníka pri práci s poškodeným súborovým systémom UFS.
- CVE-2024-45782, CVE-2025-1125: pretečenia zásobníka pri montovaní špeciálne upraveného oddielu HFS.
- CVE-2025-0622: prístup k pamäti po jej uvoľnení pri manipuláciách s modulmi, môže viesť k vykonaniu kódu útočníka.
- CVE-2025-0624: pretečenie zásobníka pri sieťovom načítaní.
- CVE-2025-0678: pretečenia zásobníka pri práci s poškodeným súborovým systémom Squash4.
- CVE-2025-0684: pretečenia zásobníka pri manipuláciách so symbolickými odkazmi v súborovom systéme Reiserfs.
- CVE-2025-0685: pretečenia zásobníka pri manipuláciách so symbolickými odkazmi v súborovom systéme JFS.
- CVE-2025-0685: pretečenia zásobníka pri manipuláciách so symbolickými odkazmi v súborovom systéme ROMFS.
- CVE-2025-0689: pretečenia zásobníka pri práci so špeciálne upraveným oddielom UDF.
- CVE-2025-0690: pretečenia zásobníka pri prijímaní špeciálne upravených údajov z klávesnice.
- CVE-2025-1118: obídenie režimu izolácie Lockdown a extrakcia ľubovoľného obsahu pamäte cez vykonanie príkazu dump.
- CVE-2024-45775: absencia kontroly kódu chyby pri alokácii pamäte pri analýze predaných argumentov môže viesť k poškodeniu údajov IVT (Interrupt Vector Table).
- CVE-2024-45783: prístup k nulovému ukazovateľu pri montovaní nekorektného FS HFS+.
Vo väčšine Linux distribúcií sa na overenú bootovanie v režime UEFI Secure Boot používa malá vrstva shim, ktorá je certifikovaná digitálnym podpisom spoločnosti Microsoft. Táto vrstva overuje GRUB2 vlastným certifikátom, čo umožňuje vývojárom distribúcií netransferovať každú aktualizáciu kernela a GRUB do spoločnosti Microsoft. Zraniteľnosti v GRUB2 umožňujú vykonanie vlastného kódu v štádiu po úspešnom overení shim, ale pred načítaním operačného systému, čím sa preniká do reťazca dôvery pri aktívnom režime Secure Boot a získava sa úplná kontrola nad ďalším procesom spúšťania, napríklad na načítanie iného OS, modifikáciu komponentov operačného systému a obídenie ochrany Lockdown.
Na blokovanie zraniteľností bez odvolania digitálneho podpisu môžu distribúcie používať mechanizmus SBAT (UEFI Secure Boot Advanced Targeting), ktorého podpora je implementovaná pre GRUB2, shim a fwupd vo väčšine populárnych distribúcií Linuxu. SBAT bol vyvinutý v spolupráci s Microsoftom a znamená prídavok do spustiteľných súborov komponentov UEFI ďalších metadát, ktoré obsahujú informácie o výrobca, produkte, komponente a verzii. Uvedené metadata sú digitálne podpísané a môžu byť samostatne zahrnuté do zoznamov povolených alebo zakázaných komponentov pre UEFI Secure Boot.
SBAT umožňuje blokovať používanie digitálneho podpisu pre jednotlivé verzie komponentov bez potreby odvolať kľúče pre Secure Boot. Blokovanie zraniteľností cez SBAT nevyžaduje použitie zoznamu odvolaných certifikátov UEFI (dbx), ale realizuje sa na úrovni nahradenia interného kľúča na vytváranie podpisov a aktualizáciu GRUB2, shim a ďalších dodávaných distribuovaných boot artefaktov. Pred zavedením SBAT bolo aktualizovanie zoznamu odvolaných certifikátov (dbx, UEFI Revocation List) nevyhnutnou podmienkou pre úplné blokovanie zraniteľnosti, pretože útočník, bez ohľadu na použitý operačný systém, mohol na kompromitáciu UEFI Secure Boot použiť bootovací nosič so starou zraniteľnou verziou GRUB2, certifikovanú digitálnym podpisom.
Zdroj: opennet.ru
