没什么奇怪的，零戏剧...但是已经发现了另一个 漏洞CVE-2020-10713，它会影响GRUB2引导加载程序和安全引导。 Eclypsium研究团队的一份出版物就是这一发现的幕后推手，他们将其改名为BootHole。 甚至Microsoft也已在其安全门户上发布了一个条目，警告该条目，并声称目前有一个复杂的解决方案。
引导孔 这是一个缓冲区溢出漏洞，它会影响数十亿个具有GRUB2的设备，甚至影响没有其他使用GRUB2的其他使用安全启动的设备，例如Windows。 在CVSS分类中，它的满分为8.2，满分为10，这意味着高风险。 而且，即使启用了安全启动，攻击者也可以利用此优势执行启动过程中引入的任意代码（包括恶意软件）。
所以 设备 网络，服务器，工作站，台式机和笔记本电脑以及其他设备（例如SBC，某些移动设备，IoT设备等）将受到影响。
此外，根据极乐世界，它将是 缓解困难 这将需要一些时间来找到解决方案。 这将需要对引导加载程序进行深入审查，并且供应商应发布由UEFI CA签名的引导加载程序的新版本。 Microsoft开源和协作社区的开发人员以及其他受影响的系统所有者之间将采取协调一致的措施来关闭BootHole。
实际上，他们已经做了 任务清单 为了能够在GRUB2中修复BootHole，您需要：
- 修补程序以更新GRUB2并消除该漏洞。
- Linux发行版的开发人员和其他供应商为他们的用户发布了更新。 无论是在GRUB2级别，还是安装程序和垫片。
- 新垫片必须由Microsoft UEFI CA为第三方签名。
- 操作系统的管理员显然必须进行更新。 但是它必须既包括已安装的系统，安装程序映像，也包括它们创建的恢复或启动媒体。
- 还需要在每个受影响的系统的固件中更新UEFI吊销列表（dbx），以防止在引导过程中执行代码。
最糟糕的是，涉及到固件时，您必须小心以免出现问题，并且计算机始终处于运行状态。 在积木模式下.
目前，Red Hat，HP，Debian，SUSE，Canonical，Oracle，Microsoft，VMWare，Citrix，UEFI安全响应团队和OEM等公司以及软件提供商 他们已经在努力解决它。 但是，我们将不得不等待看到第一个补丁。
UPDATE
但是低估开发人员和社区的有效性将是愚蠢的。 已经 有几个补丁候选人 减轻来自Red Hat，Canonical等公司的威胁他们已将此问题标记为当务之急，并且正在获得回报。
问题？ 问题在于这些修补程序正在引起其他问题。 它让我想起了Metldown和Spectre补丁所发生的事情，有时补救措施比疾病还差...