奇妙なことは何もない、ドラマはゼロ...しかし別のものが発見された GRUB2020ブートローダーとセキュアブートに影響を与える脆弱性CVE-10713-2。 Eclypsium研究チームの出版物は、この発見の背後にあり、彼らがBootHoleと名付けたものです。 マイクロソフトでさえ、セキュリティポータルにその警告と、現時点では複雑な解決策があると主張するエントリを公開しています。
ブートホール これはバッファオーバーフローの脆弱性であり、GRUB2を備えた数十億のデバイス、さらにはWindowsなどのセキュアブートを使用するGRUB2を備えていない他のデバイスに影響を及ぼします。 CVSS分類では、8.2点満点中10点と評価されており、リスクが高いことを意味します。 また、攻撃者はこれを利用して、セキュアブートが有効になっている場合でも、ブートプロセス中に導入された任意のコード（マルウェアを含む）を実行できる可能性があります。
そう dispositivos ネットワーク、サーバー、ワークステーション、デスクトップ、ラップトップ、およびSBC、特定のモバイルデバイス、IoTデバイスなどの他のデバイスが影響を受けます。
さらに、Eclypsiumによると、 緩和するのが複雑 解決策を見つけるには時間がかかります。 ブートローダーの詳細なレビューが必要になり、ベンダーはUEFICAによって署名された新しいバージョンのブートローダーをリリースする必要があります。 BootHoleを停止するには、Microsoftオープンソースおよびコラボレーションコミュニティの開発者と、影響を受ける他のシステム所有者との間の調整された取り組みが必要になります。
実際、彼らは タスクリスト GRUB2でBootHoleを修正できるようにするには、次のものが必要です。
- GRUB2を更新し、脆弱性を排除するためのパッチ。
- Linuxディストリビューションの開発者や他のベンダーがユーザー向けにアップデートをリリースすること。 GRUB2、インストーラー、シムの両方のレベルで。
- 新しいシムは、サードパーティ用にMicrosoft UEFICAによって署名される必要があります。
- オペレーティングシステムの管理者は明らかに更新する必要があります。 ただし、インストールされているシステム、インストーラーイメージ、およびそれらが作成したリカバリメディアまたはブートメディアの両方が含まれている必要があります。
- UEFI失効リスト（dbx）も、起動中にコードが実行されないように、影響を受ける各システムのファームウェアで更新する必要があります。
最悪のことは、ファームウェアに関しては、問題が発生しないように注意し、コンピュータがとどまるように注意する必要があるということです。 ブリックモードで.
現在、Red Hat、HP、Debian、SUSE、Canonical、Oracle、Microsoft、VMWare、Citrix、UEFI Security Response Team、OEMなどの企業、およびソフトウェアプロバイダーは、 彼らはすでにそれを解決するために働いています。 ただし、最初のパッチが表示されるまで待つ必要があります。
UPDATE
しかし、開発者とコミュニティの有効性を過小評価するのはばかげているでしょう。 既に いくつかのパッチ候補があります Red Hat、Canonicalなどの企業からの問題を軽減するため。 彼らはこの問題を最優先事項としてフラグを立てており、それは成果を上げています。
問題？ 問題は、これらのパッチが追加の問題を引き起こしていることです。 それは私にMetldownとSpectreパッチで何が起こったのかを思い出させます、時々治療は病気より悪いです...