Otkrili su dvije ranjivosti u GRUB2

Otkriveni su detalji dviju ranjivosti u GRUB2 pokretačkom programu koji pmože dovesti do izvršenja koda kada koristite posebno dizajnirane fontove i rukujete određenim Unicode sekvencama.

Spominje se da su otkrivene ranjivostie se može koristiti za zaobilaženje UEFI Secure Boot provjerenog mehanizma pokretanja. Ranjivosti u GRUB2 dopuštaju izvršavanje koda u fazi nakon uspješne provjere shim-a, ali prije učitavanja operativnog sustava, prekidajući lanac povjerenja s aktivnim načinom sigurnog pokretanja i dobivanjem pune kontrole nad postupkom nakon pokretanja, npr. Na primjer, za pokretanje drugog operativnog sustava, izmjenu komponenti operativnog sustava i zaobilaženje zaštite od zaključavanja.

Što se tiče identificiranih ranjivosti, spominje se sljedeće:

• CVE-2022-2601: prekoračenje međuspremnika u funkciji grub_font_construct_glyph() prilikom obrade posebno izrađenih fontova u pf2 formatu, do kojeg dolazi zbog netočnog izračuna parametra max_glyph_size i dodjele memorijskog područja koje je očito manje od potrebnog za postavljanje glifa.
• CVE-2022-3775: Pisanje izvan granica prilikom renderiranja nekih Unicode nizova u prilagođenom fontu. Problem je prisutan u kodu za rukovanje fontom i uzrokovan je nedostatkom odgovarajućih kontrola koje bi osigurale da širina i visina glifa odgovaraju dostupnoj veličini bitmape. Napadač može prikupiti unos na takav način da uzrokuje ispisivanje niza podataka iz dodijeljenog međuspremnika. Napominje se da unatoč složenosti iskorištavanja ranjivosti, izlaganje problema izvršenju koda nije isključeno.

Potpuno ublažavanje svih CVE-ova zahtijevat će popravke ažurirane najnovijim SBAT-om (Secure Boot Advanced Targeting) i podatke koje pružaju distribucije i dobavljači.
Ovaj put neće se koristiti UEFI revocation list (dbx) i opoziv pokvarenih
artefakti će se izrađivati ​​samo sa SBAT-om. Za informacije o tome kako primijeniti
najnovija opoziva SBAT-a, pogledajte mokutil(1). Popravci dobavljača mogu eksplicitno dopustiti pokretanje starijih poznatih artefakata pokretanja.

GRUB2, shim i drugi artefakti pokretanja svih zahvaćenih dobavljača bit će ažurirani. bit će dostupan kada se embargo ukine ili neko vrijeme nakon toga.

Spominje se da većina linux distribucija koristi mali sloj zakrpe, digitalno potpisan od strane Microsofta, za provjereno pokretanje u UEFI Secure Boot modu. Ovaj sloj provjerava GRUB2 vlastitim certifikatom, što razvojnim programerima distribucije omogućuje da ne certificiraju svako ažuriranje kernela i GRUB-a kod Microsofta.

Za blokiranje ranjivosti bez opoziva digitalnog potpisa, distribucije može koristiti SBAT mehanizam (UEFI Secure Boot Advanced Targeting), koji podržavaju GRUB2, shim i fwupd na većini popularnih distribucija Linuxa.

SBAT je razvijen u suradnji s Microsoftom i uključuje dodavanje dodatnih metapodataka u izvršne datoteke UEFI komponente, uključujući informacije o proizvođaču, proizvodu, komponenti i verziji. Navedeni metapodaci digitalno su potpisani i mogu se uključiti u zasebne popise dopuštenih ili zabranjenih komponenti za UEFI Secure Boot.

SBAT omogućuje blokiranje korištenja digitalnog potpisa za pojedinačne brojeve verzija komponente bez potrebe za opozivom ključeva za Secure Boot. Blokiranje ranjivosti putem SBAT-a ne zahtijeva upotrebu UEFI CRL-a (dbx), već se radi na razini interne zamjene ključa za generiranje potpisa i ažuriranje GRUB2, shim i drugih artefakata pokretanja koje pružaju distribucije.

Prije uvođenja SBAT-a, ažuriranje popisa opozvanih certifikata (dbx, UEFI Revocation List) bilo je preduvjet za potpuno blokiranje ranjivosti, budući da je napadač, bez obzira na operativni sustav koji se koristi, mogao koristiti medij za podizanje sustava. s ranjivom starijom verzijom GRUB2 certificiran digitalnim potpisom za kompromitiranje UEFI Secure Boot.

Konačno Vrijedno je spomenuti da je popravak objavljen kao zakrpa., da biste riješili probleme u GRUB2, nije dovoljno ažurirati paket, također ćete morati stvoriti nove interne digitalne potpise i ažurirati instalatere, bootloadere, kernel pakete, fwupd-firmware i shim-layer.

Status otklanjanja ranjivosti u distribucijama može se procijeniti na ovim stranicama: Ubuntu, SUSE, RHEL, Fedora y Debian.

Više o tome možete provjeriti u sljedeći link.