6 sårbarheter i GRUB2-laddaren som gör det möjligt att kringgå UEFI Secure Boot

Ett set av patchar har publicerats för att åtgärda 6 sårbarheter i GRUB2-bootloadern, varav de flesta leder till access av minnet efter att det har frigjorts (use-after-free). Potentiellt upptäckta problem kan utnyttjas för att kringgå mekanismen för verifierad uppstart UEFI Secure Boot. Status för åtgärder av sårbarheter i distributioner kan bedömas på följande sidor: Debian, Ubuntu, SUSE, RHEL, Arch och Fedora. För att åtgärda problemen i GRUB2 räcker det inte med att bara uppdatera paketet; det är också nödvändigt att skapa nya interna digitala signaturer och uppdatera installationsprogram, bootloaders, kärnpaket, fwupd-firmware och shim-lagret.

Upptäckta sårbarheter:

• CVE-2025-61661 — en buffer overflow i funktionen grub_usb_get_string(), som kan utnyttjas vid bearbetning av strängar i UTF-8 och UTF-16-kodningar, som skickas när USB-enheter ansluts. Problemet beror på att bufferten allokerades baserat på storleken av strängen i det första meddelandet från USB-enheten, medan storleken beräknades baserat på efterföljande läsoperationer från USB-enheten. Därför kan en modifierad USB-enhet som ursprungligen returnerar ett underskattat storleksvärde användas för attacken.
• CVE-2025-61663, CVE-2025-61664, CVE-2025-54770, CVE-2025-61662 — avsaknaden av rengöring av kommandohanterare ‘normal’, ‘normal_exit’, ‘net_set_vlan’ och ‘gettext’ vid avlastning av modulerna ‘normal’, ‘net’ och ‘gettext’, vilket skapar förutsättningar för access av minnet efter att det har frigjorts (use-after-free) vid körning av de markerade kommandona efter avlastning av motsvarande moduler. Liknande sårbarheter har också påträffats för kommandona ‘functional_test’ och ‘all_functional_test’, men de har inte tilldelats CVE-id, eftersom dessa kommandon ingår i testbiblioteket och inte bör inkluderas i produktionsbyggnader.
• CVE-2025-54771 — ett fel vid räkning av referenser till ‘fs’-strukturer i funktionen grub_file_close(), vilket leder till access av minnet efter att det har frigjorts (use-after-free).

I de flesta Linux-distributioner används ett litet lager shim, som är certifierat med en digital signatur av Microsoft, för verifierad uppstart i UEFI Secure Boot-läge. Detta lager verifierar GRUB2 med sin egen certifikat, vilket gör att distributionsutvecklare inte behöver certifiera varje kärn- och GRUB-uppdatering hos Microsoft. Sårbarheter i GRUB2 kan utnyttjas för att köra kod efter att shim verifierats framgångsrikt, men innan operativsystemet startas, genom att bryta kedjan av förtroende under aktivt Secure Boot-läge och ta full kontroll över den fortsatta startprocessen, exempelvis för att starta ett annat operativsystem, modifiera operativsystemskomponenter och kringgå Lockdown-skyddet.

För att blockera sårbarheten utan att återkalla den digitala signaturen kan distributioner använda mekanismen SBAT (UEFI Secure Boot Advanced Targeting), vars stöd har implementerats för GRUB2, shim och fwupd i de flesta populära Linux-distributioner. SBAT har utvecklats i samarbete med Microsoft och innebär att ytterligare metadata som inkluderar information om tillverkare, produkt, komponent och version läggs till i exekverbara filer för UEFI. Dessa metadata signeras digitalt och kan separat ingå i listor över tillåtna eller förbjudna komponenter för UEFI Secure Boot.

SBAT gör det möjligt att blockera användningen av digitala signaturer för specifika versionsnummer av komponenter utan att behöva återkalla nycklar för Secure Boot. Blockering av sårbarheter via SBAT kräver inte användning av en lista över återkallade UEFI-certifikat (dbx), utan sker på nivå av att ersätta den interna nyckeln för att skapa signaturer och uppdatera GRUB2, shim och andra bootartefakter som levereras med distributioner. Innan SBAT infördes var det obligatoriskt att uppdatera listan över återkallade certifikat (dbx, UEFI Revocation List) för att helt blockera sårbarheten, eftersom angriparen, oavsett vilken operativsystem som används, kunde utnyttja en startbar enhet med en gammal sårbar version av GRUB2 som var certifierad med en digital signatur.

Källa: opennet.ru