Certifikatets livslängd, som verifierar bootloadern för UEFI Secure Boot i Linux-distributioner, går ut

Fedora Linux-utvecklarna har förtydligat situationen kring utgången av Microsofts certifikat i slutet av juni, vilket används för att signera Shim-lagret som används för verifierad installation av Linux-distributioner med UEFI Secure Boot. Övergången till det nya certifikatet ska ske utan att användarna märker något, eftersom det faktiska utgången av certifikatets livslängd endast gör att det inte längre kan användas för att skapa nya signaturer. Under UEFI Secure Boot kontrolleras inte certifikatets giltighet och det har endast betydelse för återkallande av komprometterade certifikat.

Befintliga system utan installation av shim-uppdateringen kommer att fortsätta att starta så länge den offentliga nyckeln för certifikatet inte tas bort från firmware eller inte läggs till i listan över återkallade certifikat i UEFI (DBX). Endast shim-lagret som används för att starta godkänns av Microsoft, där den offentliga nyckeln för distributionen finns för att signera de komponenter som laddas, såsom bootloadern GRUB2, Linux-kärnan, kärnmoduler och processer som används vid uppstart, såsom fwupd. Denna metod möjliggör för Microsoft att endast godkänna ändringar i shim-lagret och själva säkerställa verifieringen av installationsprocessen för distributionen.

Microsofts certifikat för att signera tredjepartsfirmware för UEFI Secure Boot har varit giltigt sedan 2011. År 2023 ersattes det med ett nytt certifikat som kommer att användas för att generera signaturer från oktober 2025. Det uppdaterade shim-lagret har redan lagts till i Fedora Rawhide-repositoriet, som ligger till grund för Fedora 45-utgåvan, och är signerat med flera nycklar för att säkerställa maximal kompatibilitet med hårdvaran (det kan användas både med gamla firmware utan den offentliga nyckeln för det nya certifikatet och med firmware utan den offentliga nyckeln för det gamla certifikatet).

Trots att utgången av Microsoft-certifikatet inte bör påverka funktionen för uppstart, rekommenderar Fedora-utvecklarna användare att uppdatera databasen med nycklar för Secure Boot när nya versioner av firmware för deras hårdvara släpps. För att kontrollera om systemet startas i UEFI Secure Boot-läge kan kommandot "mokutil —sb-state" användas, och för att visa listan över de öppna nycklarna i firmware kan du använda "mokutil —db —short". För att visa nycklarna som signerade shim-lagret kan kommandot "sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi" köras efter att ha installerat paketet pesign. För att kontrollera om firmwareuppdateringar finns tillgängliga och för att installera dem kan du köra kommandot "sudo fwupdmgr update".

Den nästa versionen av shim-lagret kommer endast att signeras med det nya Microsoft-certifikatet, och firmwareuppdatering är nödvändig för att förbereda sina system för denna förändring. Uppdateringen av shim kommer att släppas om sårbarheter eller allvarliga fel upptäcks, vilket kan ske både efter en månad och efter ett år. Under shim:s existens i projektet har kritiska sårbarheter identifierats, och den senaste rapporten om säkerhetsproblem i shim publicerades bara för några dagar sedan.

Rapporten nämner två nyligen identifierade sårbarheter CVE-2026-8863 och
CVE-2026-10797, som möjliggör exekvering av egen kod i ett tidigt skede av uppstarten före överföringen av kontrollen till operativsystemet, för att kringgå UEFI Secure Boot-skyddet och möjliggöra uppstart av komponenter i kärnan som inte är signerade med digital signatur. Problemen påverkar versioner av shim fram till och med version 0.9, som skapades före 2016. Mycket gamla system är utsatta för attack, såsom
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 och openSUSE med shim 0.9. Shim-lager fram till och med version 0.9 har lagts till i databasen för återkallade digitala signaturer DBX (UEFI Forbidden Signature Database), och i händelse av en DBX-uppdatering kan de inte användas för att starta i UEFI Secure Boot-läge.

Källa: opennet.ru