{"id":119554,"date":"2024-08-21T09:43:00","date_gmt":"2024-08-21T07:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot"},"modified":"2024-08-21T09:43:00","modified_gmt":"2024-08-21T07:43:00","slug":"oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot","title":{"rendered":"Ett fel vid uppdatering till Windows blockerade Linux-boot vid anv\u00e4ndning av UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I det uppdatering som Microsoft sl\u00e4ppte i tisdags f\u00f6r operativsystemet Windows uppt\u00e4cktes ett problem som g\u00f6r det om\u00f6jligt att starta Linux-system som \u00e4r installerade parallellt med Windows p\u00e5 samma dator. Problemet beror p\u00e5 en patch som syftar till att \u00e5tg\u00e4rda en gammal s\u00e5rbarhet (CVE-2022-2601) i GRUB-laddaren, som \u00e5tg\u00e4rdades 2022. Microsoft har \u00e4nnu inte publicerat n\u00e5got uttalande ang\u00e5ende det uppkomna felet och har inte kommenterat saken. <\/p>\n
I noteringen fr\u00e5n f\u00f6r\u00e4ndringen angavs att patchen som inf\u00f6r nya SBAT-policyn (UEFI Secure Boot Advanced Targeting) kommer att till\u00e4mpas p\u00e5 system som endast anv\u00e4nder Windows och inte p\u00e5verka konfigurationer med dubbelstart (\u00e4ndringen blockerade m\u00f6jligheten att anv\u00e4nda startbilder med gammal GRUB f\u00f6r att kringg\u00e5 Secure Boot p\u00e5 system som endast har Windows installerat). Det framgick ocks\u00e5 att \u00e4ndringen kan leda till problem med att starta ISO-bilder av gamla system som levereras med en s\u00e5rbar version av GRUB. I praktiken uppstod problem \u00e4ven f\u00f6r anv\u00e4ndare av dubbelstartssystem som anv\u00e4nder nya Linux-distributioner s\u00e5som Ubuntu 24.04 och Debian 12.6, d\u00e4r s\u00e5rbarheten i GRUB l\u00e4nge har \u00e5tg\u00e4rdats. <\/p>\n
Problemet uppst\u00e5r n\u00e4r nedladdningsprocessen stoppas med meddelandet \"Verifying shim SBAT data failed: Security Policy Violation. Something has gone seriously wrong: SBAT self-check failed: Security Policy Violation\". F\u00f6r att \u00e5terst\u00e4lla funktionen rekommenderas det att ta bort den installerade SBAT-datan i UEFI. Detta kan g\u00f6ras genom att st\u00e4nga av Secure Boot i firmware, ladda ner en f\u00e4rsk Linux-distribution som st\u00f6der UEFI Secure Boot, till exempel Ubuntu, och k\u00f6ra kommandot \"mokutil --set-sbat-policy delete\" i konsolen. D\u00e4refter startar du om Linux-distributionen f\u00f6r att installera den korrekta SBAT-policyn. Efter detta kan Secure Boot-l\u00e4get \u00e5terst\u00e4llas i firmware. <\/p>\n
SBAT-mekanismen utvecklades av Red Hat i samarbete med Microsoft f\u00f6r att blockera s\u00e5rbarheter i GRUB-bootloadern och shim-lagret utan att \u00e5terkalla den digitala signaturen. SBAT inneb\u00e4r att man l\u00e4gger till metadata i UEFI-komponenternas k\u00f6rbara filer, som inkluderar information om tillverkare, produkt, komponent och version. Den angivna metadatan signeras digitalt och kan inkluderas i separata listor \u00f6ver till\u00e5tna eller f\u00f6rbjudna komponenter f\u00f6r UEFI Secure Boot. SBAT g\u00f6r det m\u00f6jligt att blockera anv\u00e4ndningen av digitala signaturer f\u00f6r specifika versionsnummer av komponenter utan att beh\u00f6va \u00e5terkalla nycklar f\u00f6r Secure Boot. <\/p>\n
Blockering av s\u00e5rbarheter genom SBAT kr\u00e4ver ingen anv\u00e4ndning av listan \u00f6ver \u00e5terkallade UEFI-certifikat (dbx), utan genomf\u00f6rs p\u00e5 niv\u00e5n av att ers\u00e4tta den interna nyckeln f\u00f6r att skapa signaturer och uppdatera GRUB2, shim och andra bootartefakter som tillhandah\u00e5lls av distributionerna. Innan SBAT inf\u00f6rdes var uppdatering av listan \u00f6ver \u00e5terkallade certifikat (dbx, UEFI Revocation List) en n\u00f6dv\u00e4ndig del av den fullst\u00e4ndiga blockeringen av s\u00e5rbarheten, eftersom en angripare, oavsett vilket operativsystem som anv\u00e4ndes, kunde kompromettera UEFI Secure Boot genom att anv\u00e4nda ett bootmedia med en gammal s\u00e5rbar version av GRUB2, som var signerad digitalt. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"