GRUB2 yuklash moslamasining maxsus ishlab chiqilgan shriftlardan foydalanganda va ma'lum Unicode ketma-ketliklarini qayta ishlashda kod bajarilishiga olib kelishi mumkin bo'lgan ikkita zaiflik haqida ma'lumot oshkor qilingan. Zaifliklar UEFI Secure Boot tomonidan tasdiqlangan yuklash mexanizmini chetlab o'tish uchun ishlatilishi mumkin.
Aniqlangan zaifliklar:
- CVE-2022-2601 - pf2 formatida maxsus ishlab chiqilgan shriftlarni qayta ishlashda grub_font_construct_glyph() funksiyasidagi bufer to'lib ketishi, bu max_glyph_size parametrini noto'g'ri hisoblash va xotira maydonini zarur bo'lganidan aniqroq kichikroq ajratish natijasida yuzaga keladi. gliflarni joylashtirish.
- CVE-2022-3775 Ba'zi Unicode ketma-ketliklarini maxsus uslubdagi shriftda ko'rsatishda chegaradan tashqari yozish sodir bo'ladi. Muammo shriftni qayta ishlash kodida va glifning kengligi va balandligi mavjud bitmap o'lchamiga mos kelishini tekshirish uchun tegishli tekshiruvlarning yo'qligi tufayli yuzaga keladi. Tajovuzkor ma'lumotlarning dumini ajratilgan buferning tashqi tomoniga yozilishiga olib keladigan tarzda kirishni yaratishi mumkin. Ta'kidlanishicha, zaiflikdan foydalanishning murakkabligiga qaramay, muammoni kodni bajarishga olib kelish istisno qilinmaydi.
Tuzatish yamoq sifatida chop etildi. Tarqatishlardagi zaifliklarni bartaraf etish holatini quyidagi sahifalarda baholash mumkin: Ubuntu, SUSE, RHEL, Fedora, Debian. GRUB2-dagi muammolarni bartaraf etish uchun paketni yangilash kifoya emas, shuningdek, yangi ichki raqamli imzolarni yaratish va o'rnatuvchilarni, yuklash moslamalarini, yadro paketlarini, fwupd proshivka va shim qatlamini yangilashingiz kerak bo'ladi.
Ko'pgina Linux distributivlari UEFI Secure Boot rejimida tasdiqlangan yuklash uchun Microsoft tomonidan raqamli imzolangan kichik shim qatlamidan foydalanadi. Ushbu qatlam GRUB2 ni o'z sertifikati bilan tasdiqlaydi, bu esa tarqatish ishlab chiquvchilariga Microsoft tomonidan sertifikatlangan har bir yadro va GRUB yangilanishiga ega bo'lmaslik imkonini beradi. GRUB2-dagi zaifliklar shimni muvaffaqiyatli tekshirish bosqichida kodingizning bajarilishiga erishishga imkon beradi, lekin operatsion tizimni yuklashdan oldin, xavfsiz yuklash rejimi faol bo'lganda ishonch zanjiriga qo'shiling va keyingi yuklash jarayoni ustidan to'liq nazoratni qo'lga kiriting. boshqa operatsion tizimni yuklash, operatsion tizim komponentlari tizimini o'zgartirish va Lockdown himoyasini chetlab o'tish.
Raqamli imzoni bekor qilmasdan zaiflikni blokirovka qilish uchun tarqatishlar SBAT (UEFI Secure Boot Advanced Targeting) mexanizmidan foydalanishi mumkin, bu esa eng mashhur Linux tarqatishlarida GRUB2, shim va fwupd uchun qo'llab-quvvatlanadi. SBAT Microsoft bilan birgalikda ishlab chiqilgan va ishlab chiqaruvchi, mahsulot, komponent va versiya haqidagi ma'lumotlarni o'z ichiga olgan UEFI komponentlarining bajariladigan fayllariga qo'shimcha metama'lumotlarni qo'shishni o'z ichiga oladi. Belgilangan metama'lumotlar raqamli imzo bilan tasdiqlangan va UEFI Secure Boot uchun ruxsat etilgan yoki taqiqlangan komponentlar ro'yxatiga alohida kiritilishi mumkin.
SBAT Secure Boot kalitlarini bekor qilmasdan alohida komponent versiya raqamlari uchun raqamli imzolardan foydalanishni bloklash imkonini beradi. SBAT orqali zaifliklarni bloklash UEFI sertifikatini bekor qilish roΚ»yxatidan (dbx) foydalanishni talab qilmaydi, lekin imzolarni yaratish va GRUB2, shim va tarqatishlar tomonidan taqdim etilgan boshqa yuklash artefaktlarini yangilash uchun ichki kalitni almashtirish darajasida amalga oshiriladi. SBAT joriy etilishidan oldin sertifikatni bekor qilish ro'yxatini (dbx, UEFI Revocation List) yangilash zaiflikni to'liq blokirovka qilish uchun zaruriy shart edi, chunki tajovuzkor ishlatiladigan operatsion tizimdan qat'i nazar, GRUB2 ning eski zaif versiyasi bilan yuklanadigan mediadan foydalanishi mumkin edi. UEFI Secure Boot dasturini buzish uchun raqamli imzo bilan tasdiqlangan.
Manba: opennet.ru