沒什麼奇怪的，零戲劇...但是又發現了另一個 漏洞CVE-2020-10713，它會影響GRUB2引導加載程序和安全引導。 該發現的背後是Eclypsium研究團隊的出版物，他們將其命名為BootHole。 甚至Microsoft也已在其安全門戶上發布了一個條目，警告該條目，並聲稱目前存在一個複雜的解決方案。
引導孔 這是一個緩衝區溢出漏洞，它會影響數十億個具有GRUB2的設備，甚至影響那些沒有諸如Windows之類的使用Secure Boot的不具有GRUB2的設備。 在CVSS系統分類中，它的滿分為8.2，滿分為10，這意味著高風險。 而且，即使啟用了安全啟動，攻擊者也可以利用此優勢執行啟動過程中引入的任意代碼（包括惡意軟件）。
所以 設備 網絡，服務器，工作站，台式機和筆記本電腦以及其他設備（例如SBC，某些移動設備，IoT設備等）將受到影響。
此外，根據極樂世界，它將是 緩解困難 這將需要一些時間來找到解決方案。 這將需要對引導加載程序進行深入審查，供應商應發布由UEFI CA簽名的引導加載程序的新版本。 Microsoft開源和協作社區的開發人員以及其他受影響的系統所有者之間將採取協調一致的措施來關閉BootHole。
實際上，他們已經做了 待辦事項清單 為了能夠在GRUB2中修復BootHole，您需要：
- 修補程序以更新GRUB2並消除該漏洞。
- Linux發行版的開發人員和其他供應商為他們的用戶發布了更新。 無論是在GRUB2級別，還是安裝程序和墊片。
- 新墊片必須由Microsoft UEFI CA為第三方簽名。
- 操作系統的管理員顯然必須進行更新。 但是它必須既包括已安裝的系統，安裝程序映像，也包括它們創建的恢復或可啟動媒體。
- 還需要在每個受影響的系統的固件中更新UEFI吊銷列表（dbx），以防止在引導過程中執行代碼。
最糟糕的是，在固件方面，您必須小心，並小心不要最終出問題，並且計算機仍會保留下來。 在積木模式下.
目前，Red Hat，HP，Debian，SUSE，Canonical，Oracle，Microsoft，VMWare，Citrix，UEFI安全響應團隊和OEM等公司以及軟件提供商 他們已經在努力解決它。 但是，我們將不得不等待看到第一個補丁。
UPDATE
但是低估開發人員和社區的有效性將是愚蠢的。 已經 有幾個補丁候選人 減輕來自Red Hat，Canonical等公司的威脅他們已將此問題標記為當務之急，並且正在獲得回報。
問題？ 問題在於這些修補程序引起了其他問題。 它讓我想起了Metldown和Spectre補丁所發生的事情，有時補救措施比疾病還差...