Останнім часом Була опублікована новина про те, що виправлено 7 уразливостей завантажувач GRUB2 які дозволяють обійти механізм безпечного завантаження UEFI і дозволити виконання неперевіреного коду, наприклад, шляхом впровадження шкідливого програмного забезпечення, яке працює на рівні завантажувача або ядра.
Крім того, є вразливість у шарі прокладки, яка також дозволяє обійти безпечне завантаження UEFI. Група вразливостей отримала кодову назву Boothole 3, подібно до подібних проблем, які раніше були виявлені в завантажувачі.
Вказані метадані мають цифровий підпис і можуть бути окремо включені в списки дозволених або заборонених компонентів для безпечного завантаження UEFI.
Більшість дистрибутивів Linux використовують невеликий шар виправлення, підписаний цифровим підписом Microsoft, для підтвердженого завантаження в режимі безпечного завантаження UEFI. Цей рівень перевіряє GRUB2 власним сертифікатом, що дозволяє розробникам дистрибутивів не сертифікувати кожне ядро та оновлення GRUB у Microsoft.
Уразливості в GRUB2 дозволяють виконувати код після перевірки успішна прокладка, але перед завантаженням операційної системи увійдіть в ланцюг довіри з активним режимом безпечного завантаження та отримайте повний контроль над подальшим процесом завантаження, включаючи завантаження іншої операційної системи, зміну системних компонентів операційної системи та захист від блокування.
Замість того, щоб відкликати підпис, SBAT дозволяє блокувати його використання для окремих номерів версій компонентів не потрібно відкликати ключі для безпечного завантаження. Блокування вразливостей через SBAT не вимагає використання UEFI CRL (dbx), але виконується на рівні внутрішньої заміни ключа для створення підписів та оновлення GRUB2, shim та інших артефактів завантаження, наданих дистрибутивом. До більшості популярних дистрибутивів Linux тепер додано підтримку SBAT.
The Виявлені вразливості такі:
- CVE-2021-3696, CVE-2021-3695— Переповнення буфера купи під час обробки спеціально створених зображень PNG, які теоретично можна використовувати для виконання коду атаки та обходу безпечного завантаження UEFI. Зазначається, що проблему важко використовувати, оскільки для створення робочого експлойта потрібно врахувати велику кількість факторів і наявність інформації про розташування пам’яті.
- CVE-2021-3697: переповнення буфера в коді обробки зображень JPEG. Використання проблеми вимагає знання компоновки пам’яті та має приблизно той самий рівень складності, що й проблема PNG (CVSS 7.5).
- CVE-2022-28733: переповнення цілого числа у функції grub_net_recv_ip4_packets(), що дозволяє вам впливати на параметр rsm->total_len, надсилаючи спеціально створений IP-пакет. Проблема позначена як найнебезпечніша з представлених уразливостей (CVSS 8.1). У разі успішного використання вразливість дозволяє записувати дані за межі буфера шляхом навмисного виділення меншого розміру пам’яті.
- CVE-2022-28734: Переповнення однобайтового буфера під час обробки розділених заголовків HTTP. Проблема може призвести до пошкодження метаданих GRUB2 (запис нульового байта відразу після закінчення буфера) під час аналізу спеціально створених HTTP-запитів.
- CVE-2022-28735: проблема в перевірці shim_lock, яка дозволяє завантажувати файли, які не є ядром. Уразливість може бути використана для завантаження непідписаних модулів ядра або неперевіреного коду в режимі безпечного завантаження UEFI.
- CVE-2022-28736: Доступ до області пам'яті, вже звільненої у функції grub_cmd_chainloader() шляхом повторного виконання команди chainloader, яка використовується для завантаження операційних систем, які не підтримуються GRUB2. Експлуатація може призвести до виконання коду зловмисника, якщо зловмисник може визначити деталі розподілу пам'яті в GRUB2.
- CVE-2022-28737: Виправлено переповнення буфера шару у функції handle_image() під час завантаження та запуску користувацьких зображень EFI.
Щоб усунути неполадки GRUB2 та shim, дистрибутиви зможуть використовувати механізм SBAT (Usefi Secure Boot Advanced Targeting), сумісний з GRUB2, shim і fwupd. SBAT був розроблений у співпраці з Microsoft і передбачає додавання додаткових метаданих до виконуваних файлів компонентів UEFI, включаючи інформацію про виробника, продукт, компонент і версію.
Нарешті, якщо вам цікаво дізнатись більше про це, ви можете проконсультуватися з деталями У наступному посиланні.