Nič zvláštne, nulové drámy ... Objavila sa však iná zraniteľnosť, CVE-2020-10713, ktorá ovplyvňuje bootloader GRUB2 a Secure Boot. Za týmto nálezom stála publikácia výskumného tímu Eclypsium, ktorú pokrstili ako BootHole. Dokonca Microsoft zverejnil na svojom bezpečnostnom portáli záznam, v ktorom ho varoval a tvrdí, že v súčasnosti existuje komplikované riešenie.
BootHole Jedná sa o chybu zabezpečenia spojenú s pretečením medzipamäte, ktorá ovplyvňuje miliardy zariadení s GRUB2 a dokonca aj ďalších bez GRUB2, ktoré používajú Secure Boot, napríklad Windows. V klasifikácii systému CVSS bol hodnotený ako 8.2 z 10, čo znamená, že je vysoko rizikový. Útočník by to mohol využiť, aby mohol spustiť ľubovoľný kód (vrátane škodlivého softvéru) zavedený počas procesu zavádzania, a to aj pri povolenom zabezpečenom spustení.
tak zariadenie siete, servery, pracovné stanice, stolové počítače a notebooky, ako aj ďalšie zariadenia, ako napríklad SBC, určité mobilné zariadenia, zariadenia IoT atď., budú ovplyvnené.
Ďalej to podľa Eclypsium bude komplikovane zmierniteľné a hľadanie riešenia bude chvíľu trvať. Bude to vyžadovať dôkladnú kontrolu bootloaderov a predajcovia by mali vydať nové verzie bootloaderov podpísané UEFI CA. Vynaloženie BootHole bude vyžadovať koordinované úsilie medzi vývojármi v otvorenom zdrojovom prostredí spoločnosti Microsoft a spolupracujúcou komunitou a ďalšími vlastníkmi postihnutých systémov.
V skutočnosti vyrobili a zoznam úloh aby ste mohli opraviť BootHole v GRUB2 a potrebujete:
- Oprava na aktualizáciu GRUB2 a odstránenie zraniteľnosti.
- Že vývojári distribúcií Linuxu a ďalší dodávatelia vydávajú aktualizácie pre svojich používateľov. Obaja na úrovni GRUB2, inštalatéri a vložky.
- Nové vložky musia byť podpísané Microsoft UEFI CA pre tretie strany.
- Správcovia operačných systémov budú samozrejme musieť aktualizovať. Musí však obsahovať tak nainštalovaný systém, obrazy inštalačného programu, ako aj obnovovacie alebo bootovacie médium, ktoré vytvorili.
- Zoznam UEFI Revocation List (dbx) bude tiež potrebné aktualizovať vo firmvéri každého ovplyvneného systému, aby sa zabránilo spusteniu kódu počas bootovania.
Najhoršie je, že pokiaľ ide o firmvér, musíte byť opatrní, aby ste neskončili problémami a aby počítače zostali v tehlovom režime.
V súčasnosti spoločnosti ako Red Hat, HP, Debian, SUSE, Canonical, Oracle, Microsoft, VMWare, Citrix, UEFI Security Response Team a OEM, ako aj poskytovatelia softvéru, už pracujú na jeho vyriešení. Na prvé opravy si však budeme musieť počkať.
UPDATE
Ale podceňovať efektívnosť vývojárov a komunity by bola hlúposť. Už existuje niekoľko kandidátov na záplatu zmierniť to, ktoré pochádzajú od spoločností ako Red Hat, Canonical atď. Túto otázku označili za najvyššiu prioritu a vypláca sa.
Problém? Problém je v tom, že tieto opravy spôsobujú ďalšie problémy. Pripomína mi to, čo sa stalo s náplasťami Metldown a Spectre, že niekedy je liek horší ako choroba ...