Informacioni është zbuluar në lidhje me dy dobësi në ngarkuesin GRUB2, të cilat mund të çojnë në ekzekutimin e kodit kur përdoren fontet e dizajnuara posaçërisht dhe përpunohen sekuenca të caktuara Unicode. Dobësitë mund të përdoren për të anashkaluar mekanizmin e nisjes së verifikuar nga UEFI Secure Boot.
Dobësitë e identifikuara:
- CVE-2022-2601 - Një tejmbushje buferi në funksionin grub_font_construct_glyph() kur përpunohen fontet e projektuara posaçërisht në formatin pf2, që ndodh për shkak të një llogaritjeje të gabuar të parametrit max_glyph_size dhe ndarjes së një zone memorie që është padyshim më e vogël se e nevojshme për të akomoduar glyphs.
- CVE-2022-3775 Një shkrim jashtë kufijve ndodh kur jepen disa sekuenca Unicode në një font të stiluar posaçërisht. Problemi është në kodin e përpunimit të shkronjave dhe shkaktohet nga mungesa e kontrolleve të duhura për të siguruar që gjerësia dhe lartësia e glifit përputhen me madhësinë e bitmap-it të disponueshëm. Një sulmues mund të krijojë hyrjen në atë mënyrë që të bëjë që pjesa e të dhënave të shkruhet në pjesën e jashtme të buferit të alokuar. Vihet re se pavarësisht kompleksitetit të shfrytëzimit të cenueshmërisë, nuk përjashtohet çuarja e problemit në ekzekutimin e kodit.
Rregullimi është publikuar si një rregullim. Statusi i eliminimit të dobësive në shpërndarje mund të vlerësohet në këto faqe: Ubuntu, SUSE, RHEL, Fedora, Debian. Për të rregulluar problemet në GRUB2, nuk mjafton vetëm përditësimi i paketës; do t'ju duhet gjithashtu të gjeneroni nënshkrime të reja dixhitale të brendshme dhe instalues të përditësimeve, ngarkuesit e ngarkimit, paketat e kernelit, firmuerin fwupd dhe shtresën shim.
Shumica e shpërndarjeve Linux përdorin një shtresë të vogël shim të nënshkruar në mënyrë dixhitale nga Microsoft për nisjen e verifikuar në modalitetin UEFI Secure Boot. Kjo shtresë verifikon GRUB2 me certifikatën e vet, e cila lejon zhvilluesit e shpërndarjes të mos kenë çdo kernel dhe përditësim GRUB të certifikuar nga Microsoft. Dobësitë në GRUB2 ju lejojnë të arrini ekzekutimin e kodit tuaj në fazën pas verifikimit të suksesshëm të shimit, por përpara se të ngarkoni sistemin operativ, të futeni në zinxhirin e besimit kur modaliteti Secure Boot është aktiv dhe të fitoni kontroll të plotë mbi procesin e mëtejshëm të nisjes, duke përfshirë ngarkimi i një OS tjetër, modifikimi i sistemit të komponentëve të sistemit operativ dhe anashkalimi i mbrojtjes nga bllokimi.
Për të bllokuar cenueshmërinë pa revokuar nënshkrimin dixhital, shpërndarjet mund të përdorin mekanizmin SBAT (UEFI Secure Boot Advanced Targeting), i cili mbështetet për GRUB2, shim dhe fwupd në shpërndarjet më të njohura Linux. SBAT u zhvillua së bashku me Microsoft dhe përfshin shtimin e meta të dhënave shtesë në skedarët e ekzekutueshëm të komponentëve UEFI, të cilat përfshijnë informacione rreth prodhuesit, produktit, komponentit dhe versionit. Meta të dhënat e specifikuara janë të certifikuara me një nënshkrim dixhital dhe mund të përfshihen veçmas në listat e komponentëve të lejuar ose të ndaluar për UEFI Secure Boot.
SBAT ju lejon të bllokoni përdorimin e nënshkrimeve dixhitale për numrat e versioneve individuale të komponentëve pa pasur nevojë të revokoni çelësat për Secure Boot. Bllokimi i dobësive nëpërmjet SBAT nuk kërkon përdorimin e listës së revokimit të certifikatave UEFI (dbx), por kryhet në nivelin e zëvendësimit të çelësit të brendshëm për të gjeneruar nënshkrime dhe përditësuar GRUB2, shim dhe objekte të tjera të nisjes të ofruara nga shpërndarjet. Përpara prezantimit të SBAT, përditësimi i listës së revokimit të certifikatave (dbx, Lista e revokimit UEFI) ishte një parakusht për bllokimin e plotë të cenueshmërisë, pasi një sulmues, pavarësisht nga sistemi operativ i përdorur, mund të përdorte media bootable me një version të vjetër të cenueshëm të GRUB2. certifikuar nga një nënshkrim dixhital, për të komprometuar UEFI Secure Boot .
Burimi: opennet.ru