Një dobësi (CVE-2-2023) është identifikuar në drejtuesin që ofron punë me sistemin e skedarëve NTFS në ngarkuesin GRUB4692, i cili lejon që kodi i tij të ekzekutohet në nivelin e ngarkuesit kur hyn në një imazh të sistemit të skedarëve të krijuar posaçërisht. Dobësia mund të përdoret për të anashkaluar mekanizmin e nisjes së verifikuar nga UEFI Secure Boot.
Dobësia është për shkak të një gabimi në kodin e analizës për atributin $ATTRIBUTE_LIST NTFS (grub-core/fs/ntfs.c), i cili mund të përdoret për të shkruar informacione të kontrolluara nga përdoruesi në një zonë memorie jashtë buferit të caktuar. Kur përpunoni një imazh NTFS të projektuar posaçërisht, një tejmbushje çon në mbishkrimin e një pjese të memories GRUB, dhe gjithashtu, në kushte të caktuara, në dëmtimin e zonës së kujtesës së firmuerit UEFI, e cila potencialisht ju lejon të organizoni ekzekutimin e kodit tuaj në ngarkuesin ose niveli i firmuerit.
Për më tepër, një dobësi tjetër (CVE-2-2023) u identifikua gjithashtu në drejtuesin NTFS nga GRUB4693, i cili lejon që përmbajtja e një zone arbitrare të memories të lexohet kur analizohet atributi "$DATA" në një imazh NTFS të krijuar posaçërisht. Ndër të tjera, dobësia ju lejon të merrni të dhëna të ndjeshme të ruajtura në memorie ose të përcaktoni vlerat e variablave EFI.
Problemet deri më tani janë zgjidhur vetëm disa herë. Statusi i rregullimeve të dobësive në shpërndarje mund të vlerësohet në këto faqe: Debian, Ubuntu, SUSE, RHEL, Fedora. Rregullimi i problemeve të GRUB2 kërkon më shumë sesa thjesht përditësimin e paketës; kërkon gjithashtu gjenerimin e nënshkrimeve të reja dixhitale të brendshme dhe përditësimin e instaluesve, ngarkuesve të nisjes, paketave të kernelit, firmware-it fwupd dhe shtresës shim.
Shumica LinuxShpërndarjet për nisjen e verifikuar në modalitetin UEFI Secure Boot përdorin një shtresë të vogël shim, të nënshkruar dixhitalisht nga Microsoft. Kjo shtresë verifikon GRUB2 me certifikatën e vet, duke eliminuar nevojën që zhvilluesit e shpërndarjes të njoftojnë Microsoft për çdo përditësim të kernelit dhe GRUB. Dobësitë në GRUB2 lejojnë ekzekutimin arbitrar të kodit pas verifikimit të suksesshëm shim, por para se të niset sistemi operativ. Kjo u lejon sulmuesve të depërtojnë në zinxhirin e besimit kur aktivizohet Secure Boot dhe të fitojnë kontroll të plotë mbi procesin pasues të nisjes, për shembull, për të nisur një sistem tjetër operativ, për të modifikuar komponentët e sistemit operativ ose për të anashkaluar mbrojtjen nga bllokimi.
Për të bllokuar dobësinë pa revokuar nënshkrimin dixhital, shpërndarjet mund të përdorin mekanizmin SBAT (UEFI Secure Boot Advanced Targeting), mbështetja për të cilin është zbatuar për GRUB2, shim dhe fwupd në shpërndarjet më të njohura. LinuxSBAT u zhvillua në bashkëpunim me Microsoft dhe përfshin shtimin e meta të dhënave shtesë në skedarët ekzekutues të komponentëve UEFI, duke përfshirë informacionin rreth prodhuesit, produktit, komponentit dhe versionit. Këto meta të dhëna janë të nënshkruara dixhitalisht dhe mund të përfshihen veçmas në listat e komponentëve të lejuar ose të refuzuar për UEFI Secure Boot.
SBAT ju lejon të bllokoni përdorimin e nënshkrimeve dixhitale për numrat e versioneve individuale të komponentëve pa pasur nevojë të revokoni çelësat për Secure Boot. Bllokimi i dobësive nëpërmjet SBAT nuk kërkon përdorimin e listës së revokimit të certifikatave UEFI (dbx), por kryhet në nivelin e zëvendësimit të çelësit të brendshëm për të gjeneruar nënshkrime dhe përditësuar GRUB2, shim dhe objekte të tjera të nisjes të ofruara nga shpërndarjet. Përpara prezantimit të SBAT, përditësimi i listës së certifikatave të revokimit (dbx, Lista e revokimit UEFI) ishte një parakusht për bllokimin e plotë të cenueshmërisë, pasi një sulmues, pavarësisht nga sistemi operativ i përdorur, mund të përdorte boot boot për të kompromentuar UEFI Secure Boot
Burimi: opennet.ru
