Nieko keisto, nulis dramų ... Bet atrasta kita pažeidžiamumas, CVE-2020-10713, kuris veikia „GRUB2“ įkrovos programą ir „Secure Boot“. „Eclypsium“ tyrimų grupės leidinys yra tai, kas slypi už šios išvados ir kurią jie pavadino „BootHole“. Net „Microsoft“ savo saugumo portale paskelbė įrašą, perspėdamas apie tai ir teigdamas, kad šiuo metu yra sudėtingas sprendimas.
„BootHole“ Tai yra buferio perpildymo pažeidžiamumas, paveikiantis milijardus įrenginių, turinčių GRUB2, ir net kitus, neturinčius GRUB2, naudojančių saugų įkrovą, pvz., „Windows“. Pagal CVSS klasifikaciją jis buvo įvertintas kaip 8.2 iš 10, o tai reiškia, kad tai yra didelė rizika. Ir tai, kad užpuolikas galėtų tuo pasinaudoti, kad galėtų paleisti savavališką kodą (įskaitant kenkėjiškas programas), įvestą įkrovos proceso metu, net įjungus saugų įkrovą.
taip prietaisai tai paveiktų tinklą, serverius, darbo stotis, stalinius ir nešiojamuosius kompiuterius, taip pat kitus įrenginius, tokius kaip SBC, tam tikrus mobiliuosius įrenginius, IoT įrenginius ir kt.
Be to, pasak „Eclypsium“, taip ir bus sudėtinga sušvelninti ir reikės laiko rasti sprendimą. Reikės nuodugniai peržiūrėti įkrovos įrenginius, o pardavėjai turėtų išleisti naujas įkrovos versijų versijas, pasirašytas UEFI CA. Norint nuversti „BootHole“ reikės koordinuotų „Microsoft“ atvirojo kodo kūrėjų ir bendradarbiavimo bendruomenės bei kitų paveiktų sistemų savininkų pastangų.
Tiesą sakant, jie padarė užduočių sąrašas kad galėtumėte pataisyti „BootHole“ GRUB2 ir jums reikia:
- Pataisa atnaujinti GRUB2 ir pašalinti pažeidžiamumą.
- Kad „Linux“ paskirstymų kūrėjai ir kiti pardavėjai išleistų naujinimus savo vartotojams. Tiek GRUB2 lygiu, tiek montuotojai, tiek tarpikliai.
- Naujus apmušalus trečiosioms šalims turi pasirašyti „Microsoft UEFI“ CA.
- Operacinių sistemų administratoriai, žinoma, turės atnaujinti. Bet jame turi būti įdiegta sistema, diegimo programos vaizdai, taip pat jų sukurta atkūrimo arba įkrovos laikmena.
- UEFI atšaukimų sąrašas (dbx) taip pat turės būti atnaujintas kiekvienos paveiktos sistemos programinėje įrangoje, kad būtų užkirstas kelias kodo vykdymui įkrovos metu.
Blogiausia tai, kad kalbant apie programinę aparatinę įrangą, turite būti atsargūs ir būti atsargūs, kad nekiltų problemų ir kad kompiuteriai liktų plytų režimu.
Šiuo metu tokios įmonės kaip „Red Hat“, „HP“, „Debian“, „SUSE“, „Canonical“, „Oracle“, „Microsoft“, „VMWare“, „Citrix“, UEFI saugos reagavimo komanda ir OEM gamintojai, taip pat programinės įrangos tiekėjai, jie jau stengiasi tai išspręsti. Tačiau turėsime palaukti, kol pamatysime pirmuosius pleistrus.
UPDATE
Tačiau nuvertinti kūrėjų ir bendruomenės efektyvumą būtų kvaila. Jau yra keletas kandidatų į pleistrus kad ją sušvelnintų tokios kompanijos kaip „Red Hat“, „Canonical“ ir kt. Jie pažymėjo šią problemą kaip svarbiausią prioritetą ir tai pasiteisina.
Problema? Problema ta, kad šie pleistrai sukelia papildomų problemų. Tai man primena, kas nutiko su „Metldown“ ir „Spectre“ pleistrais, kad kartais priemonė yra blogesnė už ligą ...