Baru-baru ini Informasi tentang 8 kerentanan di bootloader GRUB2 telah dirilisBahwa memungkinkan melewati mekanisme boot aman UEFI dan menjalankan kode yang tidak diverifikasi, misalnya, untuk memasukkan malware yang berjalan di level bootloader atau kernel.
Ingatlah bahwa di sebagian besar distribusi Linux, untuk boot terverifikasi dalam mode boot aman UEFI, lapisan kompensasi kecil yang disertifikasi oleh tanda tangan digital Microsoft digunakan.
Lapisan ini memverifikasi GRUB2 terhadap sertifikatnya sendiri, memungkinkan pengembang untuk tidak mensertifikasi setiap kernel GRUB dan memperbarui ke Microsoft.
Dengan itu kerentanan di GRUB2 memungkinkan kode Anda dijalankan pada tahap pasca-verifikasi remediasi berhasil, tetapi sebelum sistem operasi dimuat, menyesuaikan dengan rantai kepercayaan saat Boot Aman aktif dan mendapatkan kontrol penuh atas proses boot berikutnya, termasuk mem-boot sistem operasi lain, memodifikasi sistem komponen sistem operasi, dan melewati kunci perlindungan .
Seperti dalam kasus kerentanan BootHole dari tahun kemarin, memperbarui bootloader tidak cukup untuk memblokir masalahSebagai penyerang, apa pun sistem operasi yang digunakan, dapat menggunakan media boot dengan versi lama GRUB2 yang rentan, disertifikasi dengan tanda tangan digital, untuk membahayakan UEFI Secure Boot.
Masalahnya diselesaikan hanya dengan memperbarui daftar sertifikat yang dicabut (dbx, UEFI Revocation List), tetapi dalam kasus ini, kemampuan untuk menggunakan media instalasi lama dengan Linux akan hilang.
Pada sistem dengan firmware di mana daftar sertifikat yang dicabut telah diperbarui, kumpulan distribusi Linux yang diperbarui hanya dapat dimuat dalam mode UEFI Secure Boot.
Distribusi perlu memperbarui penginstal, bootloader, paket kernel, firmware fwupd, dan lapisan kompensasi dengan membuat tanda tangan digital baru untuk mereka.
Pengguna perlu memperbarui gambar instalasi dan media boot lainnya dan unduh daftar pencabutan sertifikat (dbx) di firmware UEFI. Hingga pembaruan dbx di UEFI, sistem tetap rentan terlepas dari penginstalan pembaruan di sistem operasi.
Untuk memecahkan masalah turunan dari pendistribusian sertifikat yang dicabut, Rencananya akan menggunakan mekanisme SBAT di masa mendatang (UEFI Secure Boot Advanced Targeting), yang sekarang mendukung GRUB2, shim, dan fwupd, dan akan menggantikan fungsionalitas yang disediakan oleh paket dbxtool di pembaruan mendatang. SBAT dulu dikembangkan bersama dengan Microsoft untuk menambahkan metadata baru ke file yang dapat dieksekusi komponen UEFI, yang mencakup informasi pabrikan, produk, komponen, dan versi.
Dari kerentanan yang teridentifikasi:
- CVE-2020-14372- Dengan perintah acpi di GRUB2, pengguna yang memiliki hak istimewa di sistem lokal dapat memuat tabel ACPI yang dimodifikasi dengan menempatkan SSDT (tabel deskripsi sistem sekunder) di direktori / boot / efi dan mengubah pengaturan di grub.cfg.
- CVE-2020-25632: akses ke area memori yang sudah dibebaskan (gunakan setelah bebas) dalam implementasi perintah rmmod, yang dimanifestasikan saat mencoba mengunduh modul apa pun tanpa memperhitungkan dependensi yang terkait.
- CVE-2020-25647: Tuliskan batas buffer dalam fungsi grub_usb_device_initialize () yang dipanggil saat menginisialisasi perangkat USB. Masalahnya dapat dieksploitasi dengan menghubungkan perangkat USB yang disiapkan khusus yang menghasilkan parameter yang tidak sesuai dengan ukuran buffer yang dialokasikan untuk struktur USB.
- CVE-2020-27749: buffer overflow di grub_parser_split_cmdline () yang dapat disebabkan oleh menentukan variabel yang lebih besar dari 1 KB pada baris perintah GRUB2. Kerentanan tersebut memungkinkan eksekusi kode tanpa melalui Boot Aman.
- CVE-2020-27779: Perintah cutmem memungkinkan penyerang menghapus berbagai alamat dari memori untuk melewati Boot Aman.
- CVE-2021-3418: Perubahan shim_lock membuat vektor tambahan untuk mengeksploitasi kerentanan CVE-2020-15705 tahun lalu. Dengan menginstal sertifikat yang digunakan untuk menandatangani GRUB2 di dbx, GRUB2 mengizinkan semua kernel untuk dimuat secara langsung tanpa memverifikasi tanda tangan.
- CVE-2021-20225: kemampuan untuk menulis data keluar dari buffer saat menjalankan perintah dengan banyak opsi.
- CVE-2021-20233: Kemampuan untuk menulis data keluar dari buffer karena perhitungan ukuran buffer yang salah saat menggunakan tanda kutip. Saat menghitung ukuran, diasumsikan bahwa tiga karakter diperlukan untuk keluar dari satu kutipan, meskipun sebenarnya dibutuhkan empat.
sumber: https://ubuntu.com