{"id":99320,"date":"2021-03-03T16:22:39","date_gmt":"2021-03-03T14:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot"},"modified":"2021-03-03T16:22:39","modified_gmt":"2021-03-03T14:22:39","slug":"trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/trudnoustranimye-uyazvimosti-v-grub2-pozvolyayushhie-obojti-uefi-secure-boot","title":{"rendered":"Te\u017eko odpravljive ranljivosti v GRUB2, ki omogo\u010dajo obhod UEFI Secure Boot.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Razkrila so se informacije o 8 ranljivostih v nalagalniku GRUB2, ki omogo\u010dajo obhod mehanizma UEFI Secure Boot in zagon neoverjenega kode, na primer vnos zlonamerne programske opreme, ki deluje na ravni nalagalnika ali jedra. <\/p>\n

Ponovimo, da ve\u010dina Linux distribucij za verifikacijo nalaganja v na\u010dinu UEFI Secure Boot uporablja majhno plast shim, preverjeno s sodobnim digitalnim podpisom Microsofta. Ta plast preverja GRUB2 s svojim certifikatom, kar omogo\u010da razvijalcem distribucij, da ne preverjajo vsake posodobitve jedra in GRUB pri Microsoftu. Ranljivosti v GRUB2 omogo\u010dajo izvajanje lastne kode po uspe\u0161ni verifikaciji shima, a pred nalaganjem operacijskega sistema, kar omogo\u010da vdor v verigo zaupanja med aktivnim na\u010dinom Secure Boot in prevzem popolne kontrole nad nadaljevanjem nalaganja, vklju\u010dno z nalaganjem drugega operacijskega sistema, modifikacijo komponent operacijskega sistema in obhodom za\u0161\u010dite Lockdown. <\/p>\n

Kot pri ranljivosti BootHole iz prej\u0161njega leta, za blokiranje te\u017eave ni dovolj, da bi posodobili nalagalnik, kar pomeni, da lahko napadalec, ne glede na uporabljeni operacijski sistem, za kompromitacijo UEFI Secure Boot uporabi zagon medija s staro ranljivo razli\u010dico GRUB2, preverjeno s sodobnim digitalnim podpisom. Te\u017eavo re\u0161imo le s posodobitvijo seznama preklicanih certifikatov (dbx, UEFI Revocation List), vendar bo v tem primeru izgubljena mo\u017enost uporabe starih namestitvenih medijev c Linux. <\/p>\n

Na sistemih s programsko opremo, kjer je posodobljen seznam preklicanih certifikatov, bo v na\u010dinu UEFI Secure Boot mogo\u010de zagnati le posodobljene razli\u010dice Linux distribucij. Distribucije bodo morale posodobiti namestitvene programe, nalagalnike, pakete s jedrom, fwupd-firmware in shim-plast, ter zanje ustvariti nove digitalne podpise. Uporabniki bodo morali posodobiti namestitvene slike in druge zagonske medije ter nalo\u017eiti seznam preklicanih certifikatov (dbx) v UEFI programsko opremo. Dokler se dbx v UEFI ne posodobi, ostaja sistem ranljiv ne glede na namestitev posodobitev v OS. Status odprave ranljivosti lahko ocenite na teh straneh: Ubuntu, SUSE, RHEL, Debian. <\/p>\n

Za re\u0161evanje te\u017eav, ki nastanejo pri \u0161irjenju preklicanih potrdil, se v prihodnosti na\u010drtuje vklju\u010ditev mehanizma SBAT (UEFI Secure Boot Advanced Targeting), \u010digar podpora je izvedena za GRUB2, shim in fwupd, in se bo od naslednjih posodobitev uporabljala namesto funkcionalnosti, ki jo zagotavlja paket dbxtool. SBAT je bil razvit v sodelovanju z Microsoftom in predvideva dodajanje novih metapodatkov v izvr\u0161ne datoteke komponent UEFI, ki vklju\u010dujejo informacije o proizvajalcu, izdelku, komponenti in verziji. Omenjeni metapodatki so digitalno podpisani in jih je mogo\u010de dodatno vklju\u010diti v sezname dovoljenih ali prepovedanih komponent za UEFI Secure Boot. Tako bo SBAT omogo\u010dil manipulacijo s \u0161tevilkami verzij komponent ob preklicu brez potrebe po ponovni generaciji klju\u010dev za Secure Boot in brez oblikovanja novih podpisov za jedro, shim, grub2 in fwupd. <\/p>\n

Ugotovljene ranljivosti: <\/p>\n