21 sårbarheter har upptäckts i GRUB2-laddaren.

Information has been published about 21 vulnerabilities in the GRUB2 bootloader, most of which lead to buffer overflows and can be used to bypass the UEFI Secure Boot verification mechanism. The issues have only been mitigated through patches for now. The status of vulnerability mitigation in distributions can be assessed on these pages: Debian, Ubuntu, SUSE, RHEL, Fedora. Simply updating the package is not enough to address the issues in GRUB2; new internal digital signatures must also be generated, and installers, boot loaders, kernel packages, fwupd firmware, and shim layers must be updated.

Upptäckta sårbarheter:

• CVE-2024-45774: buffer overflow when parsing specially crafted JPEG images.
• CVE-2024-45776, CVE-2024-45777: integer overflows when reading specially crafted mo files, leading to writes beyond the buffer.
• CVE-2024-45778, CVE-2024-45779: integer overflows when working with a corrupted BFS file system, leading to buffer overflow.
• CVE-2024-45780: integer overflow when processing specially crafted tar archives, leading to writes beyond the buffer.
• CVE-2024-45781, CVE-2025-0677: buffer overflows when working with a corrupted UFS file system.
• CVE-2024-45782, CVE-2025-1125: buffer overflows when mounting a specially crafted HFS partition.
• CVE-2025-0622: use-after-free memory access when manipulating modules, potentially leading to execution of attacker’s code.
• CVE-2025-0624: buffer overflow during network booting.
• CVE-2025-0678: buffer overflows when working with a corrupted Squash4 file system.
• CVE-2025-0684: buffer overflows when manipulating symbolic links in the Reiserfs file system.
• CVE-2025-0685: buffer overflows when manipulating symbolic links in the JFS file system.
• CVE-2025-0685: buffer overflows when manipulating symbolic links in the ROMFS file system.
• CVE-2025-0689: buffer overflows when working with specially modified UDF partitions.
• CVE-2025-0690: buffer overflows when receiving specially crafted data from the keyboard.
• CVE-2025-1118: bypassing Lockdown isolation mode and extracting arbitrary memory content via dump command execution.
• CVE-2024-45775: lack of error code verification during memory allocation when parsing passed arguments may lead to corruption of the IVT (Interrupt Vector Table).
• CVE-2024-45783: åtkomst via nullpekare vid montering av en felaktig HFS+ filsystem.

I de flesta Linux-distributioner används ett litet lager shim, som är certifierat med en digital signatur av Microsoft, för verifierad uppstart i UEFI Secure Boot-läge. Detta lager verifierar GRUB2 med sin egen certifikat, vilket gör att distributionsutvecklare inte behöver certifiera varje kärn- och GRUB-uppdatering hos Microsoft. Sårbarheter i GRUB2 kan utnyttjas för att köra kod efter att shim verifierats framgångsrikt, men innan operativsystemet startas, genom att bryta kedjan av förtroende under aktivt Secure Boot-läge och ta full kontroll över den fortsatta startprocessen, exempelvis för att starta ett annat operativsystem, modifiera operativsystemskomponenter och kringgå Lockdown-skyddet.

För att blockera sårbarheten utan att återkalla den digitala signaturen kan distributioner använda mekanismen SBAT (UEFI Secure Boot Advanced Targeting), vars stöd har implementerats för GRUB2, shim och fwupd i de flesta populära Linux-distributioner. SBAT har utvecklats i samarbete med Microsoft och innebär att ytterligare metadata som inkluderar information om tillverkare, produkt, komponent och version läggs till i exekverbara filer för UEFI. Dessa metadata signeras digitalt och kan separat ingå i listor över tillåtna eller förbjudna komponenter för UEFI Secure Boot.

SBAT gör det möjligt att blockera användningen av digitala signaturer för specifika versionsnummer av komponenter utan att behöva återkalla nycklar för Secure Boot. Blockering av sårbarheter via SBAT kräver inte användning av en lista över återkallade UEFI-certifikat (dbx), utan sker på nivå av att ersätta den interna nyckeln för att skapa signaturer och uppdatera GRUB2, shim och andra bootartefakter som levereras med distributioner. Innan SBAT infördes var det obligatoriskt att uppdatera listan över återkallade certifikat (dbx, UEFI Revocation List) för att helt blockera sårbarheten, eftersom angriparen, oavsett vilken operativsystem som används, kunde utnyttja en startbar enhet med en gammal sårbar version av GRUB2 som var certifierad med en digital signatur.

Källa: opennet.ru