שום דבר מוזר, אפס דרמות ... אבל התגלה אחרת פגיעות, CVE-2020-10713, המשפיעה על ה- Bootloader GRUB2 ו- Secure Boot. פרסום של צוות המחקר Eclypsium הוא מה שעומד מאחורי ממצא זה ושאותו כינו BootHole. אפילו מיקרוסופט פרסמה רשומה בפורטל האבטחה שלה המתריעה עליה וטוענת שיש כרגע פיתרון מסובך.
BootHole זוהי פגיעות של הצפת מאגר שמשפיעה על מיליארדי מכשירים עם GRUB2 ואפילו על אחרים ללא GRUB2 המשתמשים באתחול מאובטח כמו Windows. בסיווג CVSS הוא זכה לציון 8.2 מתוך 10, כלומר מדובר בסיכון גבוה. והאם תוקף יכול לנצל זאת כדי להיות מסוגל לבצע קוד שרירותי (כולל תוכנות זדוניות) שהוצג במהלך תהליך האתחול, גם כאשר האתחול המאובטח מופעל.
כך מכשירים רשת, שרתים, תחנות עבודה, מחשבים שולחניים וניידים, כמו גם מכשירים אחרים כגון SBC, מכשירים ניידים מסוימים, התקני IoT וכו '.
יתר על כן, על פי Eclypsium, זה יהיה מסובך להקל וזה ייקח זמן למצוא פיתרון. זה ידרוש בדיקה מעמיקה של טעמי אתחול וספקים צריכים לשחרר גרסאות חדשות של מעמימי אתחול חתומים על ידי UEFI CA. יידרשו מאמצים מתואמים בין מפתחים בקוד הפתוח של מיקרוסופט ובקהילה השיתופית לבין בעלי מערכות מושפעים אחרים כדי להפיל את BootHole.
למעשה, הם עשו א רשימת משימות כדי להיות מסוגל לתקן את BootHole ב- GRUB2 ואתה צריך:
- תיקון לעדכון GRUB2 ולמנוע את הפגיעות.
- שמפתחי הפצות לינוקס וספקים אחרים משחררים את העדכונים עבור המשתמשים שלהם. שניהם ברמת GRUB2, מתקינים ושימוסים.
- ה- shims החדש צריך להיות חתום על ידי UEFI CA של מיקרוסופט לצדדים שלישיים.
- כמובן שמנהלי מערכות הפעלה יצטרכו לעדכן. אך עליו לכלול גם את המערכת המותקנת, את תמונות ההתקנה וגם מדיה לשחזור או אתחול שיצרו.
- כמו כן יהיה צורך לעדכן את רשימת הביטול של UEFI (dbx) בקושחה של כל מערכת מושפעת כדי למנוע ביצוע קוד במהלך האתחול.
הדבר הגרוע ביותר הוא שכשמדובר בקושחה, אתה צריך להיזהר ולהיזהר שלא להסתיים בבעיות ושהמחשבים יישארו במצב לבנים.
כרגע חברות כמו Red Hat, HP, Debian, SUSE, Canonical, Oracle, Microsoft, VMWare, Citrix, UEFI Security Response Team ויצרני OEM, כמו גם ספקי תוכנה, הם כבר עובדים לפתור את זה. עם זאת, נצטרך לחכות לראות את התיקונים הראשונים.
עדכן
אבל לזלזל ביעילות של היזמים והקהילה יהיה טיפשי. כְּבָר ישנם מספר מועמדים לתיקון למתן את זה שמגיעים מחברות כמו Red Hat, Canonical וכו '. הם סימנו את הנושא הזה בראש סדר העדיפויות וזה משתלם.
הבעיה? הבעיה היא שהתיקונים הללו גורמים לבעיות נוספות. זה מזכיר לי את מה שקרה עם מדבקות Metldown ו- Specter, שלפעמים התרופה גרועה יותר מהמחלה ...