onlangs Informatie over 8 kwetsbaarheden in de GRUB2-bootloader is vrijgegevenDat maakt het omzeilen van het UEFI-beveiligde opstartmechanisme mogelijk en het uitvoeren van niet-geverifieerde codeBijvoorbeeld om malware te injecteren die op bootloader- of kernelniveau wordt uitgevoerd.
Onthoud dat in de meeste Linux-distributies, voor geverifieerd opstarten in UEFI-veilige opstartmodus, een kleine compensatielaag wordt gebruikt die is gecertificeerd door een digitale handtekening van Microsoft.
Deze laag verifieert GRUB2 tegen zijn eigen certificaat, waardoor ontwikkelaars niet elke kernel kunnen certificeren en updaten van GRUB naar Microsoft.
Ermee kwetsbaarheden in GRUB2 zorgen ervoor dat uw code kan worden uitgevoerd in de post-verificatiefase succesvol herstel, maar voordat het besturingssysteem laadt, passend in de vertrouwensketen wanneer Secure Boot actief is en volledige controle krijgt over het daaropvolgende opstartproces, inclusief het opstarten van een ander besturingssysteem, wijzig het componentensysteem van het besturingssysteem en omzeil de beveiligingsvergrendeling .
Zoals in het geval van de BootHole-kwetsbaarheid van afgelopen jaar, het updaten van de bootloader is niet voldoende om het probleem te blokkerenAls aanvaller kan, ongeacht het gebruikte besturingssysteem, opstartmedia gebruiken met een oude kwetsbare versie van GRUB2, gecertificeerd met digitale handtekening, om UEFI Secure Boot in gevaar te brengen.
Het probleem wordt alleen opgelost door de lijst met ingetrokken certificaten bij te werken (dbx, UEFI Revocation List), maar in dit geval gaat de mogelijkheid om oude installatiemedia met Linux te gebruiken verloren.
Op systemen met firmware waarvan de lijst met ingetrokken certificaten is bijgewerkt, kunnen bijgewerkte sets Linux-distributies alleen worden geladen in de UEFI Secure Boot-modus.
Distributies zullen installatieprogramma's, bootloaders, kernelpakketten, fwupd-firmware en de compensatielaag moeten bijwerken door er nieuwe digitale handtekeningen voor te genereren.
Gebruikers moeten installatie-images en andere opstartmedia bijwerken en download de certificaatintrekkingslijst (dbx) in de UEFI-firmware. Tot de dbx-update in UEFI blijft het systeem kwetsbaar, ongeacht de installatie van updates in het besturingssysteem.
Om de afgeleide problemen op te lossen van de distributie van ingetrokken certificaten, het is de bedoeling om in de toekomst het SBAT-mechanisme te gebruiken (UEFI Secure Boot Advanced Targeting), dat nu GRUB2, shim en fwupd ondersteunt en de functionaliteit van het dbxtool-pakket in toekomstige updates zal vervangen. SBAT was ontwikkeld in samenwerking met Microsoft om nieuwe metadata toe te voegen aan uitvoerbare bestanden van UEFI-componenten, waaronder informatie over de fabrikant, het product, het onderdeel en de versie.
Van de geïdentificeerde kwetsbaarheden:
- CVE-2020-14372- Met het acpi commando op GRUB2 kan de bevoorrechte gebruiker op het lokale systeem gemodificeerde ACPI tabellen laden door een SSDT (secundaire systeembeschrijvingstabel) in de / boot / efi directory te plaatsen en de instellingen in grub.cfg te veranderen.
- CVE-2020-25632: toegang tot een geheugengebied dat al is vrijgemaakt (use-after-free) bij de implementatie van het rmmod-commando, dat tot uiting komt bij het downloaden van een module zonder rekening te houden met de bijbehorende afhankelijkheden.
- CVE-2020-25647: Schrijf uit de bufferlimieten in de functie grub_usb_device_initialize () die wordt aangeroepen bij het initialiseren van USB-apparaten. Het probleem kan worden misbruikt door een speciaal geprepareerd USB-apparaat aan te sluiten dat parameters genereert die niet overeenkomen met de grootte van de buffer die is toegewezen voor USB-structuren.
- CVE-2020-27749: bufferoverloop in grub_parser_split_cmdline () die kan worden veroorzaakt door het specificeren van variabelen groter dan 1 KB op de GRUB2-opdrachtregel. Door het beveiligingslek kan code worden uitgevoerd zonder via Secure Boot te gaan.
- CVE-2020-27779: Met de opdracht cutmem kan een aanvaller een reeks adressen uit het geheugen verwijderen om veilig opstarten te omzeilen.
- CVE-2021-3418: wijzigingen in shim_lock creëerden een extra vector om de kwetsbaarheid van CVE-2020-15705 van vorig jaar te misbruiken. Door het certificaat dat gebruikt werd om GRUB2 te ondertekenen in dbx te installeren, stond GRUB2 elke kernel toe om direct te laden zonder de handtekening te verifiëren.
- CVE-2021-20225: de mogelijkheid om gegevens uit de buffer te schrijven bij het uitvoeren van opdrachten met een groot aantal opties.
- CVE-2021-20233: Mogelijkheid om gegevens uit de buffer te schrijven vanwege een onjuiste berekening van de buffergrootte bij het gebruik van aanhalingstekens. Bij het berekenen van de grootte is aangenomen dat er drie tekens nodig zijn om aan een enkel citaat te ontsnappen, hoewel het er in werkelijkheid vier duurt.
bron: https://ubuntu.com