이러한 결함을 악용할 경우 공격자가 민감한 정보에 무단으로 액세스하거나 일반적으로 문제를 일으킬 수 있습니다.
GRUB2 부트 로더의 두 가지 취약점에 대한 세부 정보가 공개되었습니다.코드 실행으로 이어질 수 있음 특별히 디자인된 글꼴을 사용하고 특정 유니코드 시퀀스를 처리할 때.
발견된 취약점은 다음과 같습니다.e는 UEFI 보안 부팅 확인 부팅 메커니즘을 우회하는 데 사용할 수 있습니다. GRUB2의 취약성으로 인해 성공적인 shim 검증 이후이지만 운영 체제가 로드되기 전 단계에서 코드가 실행될 수 있으므로 보안 부팅 모드가 활성화된 상태에서 신뢰 체인이 끊어지고 부팅 후 프로세스를 완전히 제어할 수 있습니다. 예를 들면 다음과 같습니다. 다른 운영 체제를 시작하고, 운영 체제 구성 요소를 수정하고, 잠금 보호를 우회합니다.
확인된 취약점에 대해 다음과 같이 언급됩니다.
- CVE-2022-2601 : pf2 형식으로 특별히 제작된 글꼴을 처리할 때 grub_font_construct_glyph() 함수의 버퍼 오버플로우는 max_glyph_size 매개변수의 잘못된 계산과 글리프를 배치하는 데 필요한 것보다 분명히 작은 메모리 영역 할당으로 인해 발생합니다.
- CVE-2022-3775 : 사용자 지정 글꼴에서 일부 유니코드 문자열을 렌더링할 때 쓰기 범위를 벗어났습니다. 이 문제는 글꼴 처리 코드에 있으며 글리프 너비와 높이가 사용 가능한 비트맵 크기와 일치하는지 확인하는 적절한 컨트롤이 없기 때문에 발생합니다. 공격자는 데이터 대기열이 할당된 버퍼에서 기록되도록 하는 방식으로 입력을 수집할 수 있습니다. 취약점 악용의 복잡성에도 불구하고 문제를 코드 실행에 노출시키는 것이 배제되지 않습니다.
모든 CVE에 대한 완전한 완화에는 최신 SBAT로 업데이트된 수정이 필요합니다. (Secure Boot Advanced Targeting) 및 배포판 및 공급업체에서 제공하는 데이터.
이번에는 UEFI 해지 목록(dbx)을 사용하지 않고 손상된 항목을 해지합니다.
인공물은 SBAT로만 만들어집니다. 신청 방법에 대한 정보는
최신 SBAT 취소는 mokutil(1)을 참조하십시오. 공급업체 수정 사항은 명시적으로 이전에 알려진 부팅 아티팩트의 부팅을 허용합니다.영향을 받는 모든 공급업체의 GRUB2, shim 및 기타 부팅 아티팩트가 업데이트됩니다. 금수 조치가 해제되거나 일정 시간이 지나면 사용할 수 있습니다.
언급된다 대부분의 Linux 배포판은 작은 패치 레이어를 사용합니다., UEFI 보안 부팅 모드에서 검증된 부팅을 위해 Microsoft에서 디지털 서명했습니다. 이 계층은 자체 인증서로 GRUB2를 확인합니다., 배포 개발자가 Microsoft와 모든 커널 및 GRUB 업데이트를 인증하지 않아도 됩니다.
취약점을 차단하려면 디지털 서명을 취소하지 않고 배포 SBAT 메커니즘을 사용할 수 있습니다. (UEFI Secure Boot Advanced Targeting) - 가장 널리 사용되는 Linux 배포판에서 GRUB2, shim 및 fwupd가 지원합니다.
SBAT는 Microsoft와 공동으로 개발되었으며 제조업체, 제품, 구성 요소 및 버전 정보를 포함하여 UEFI 구성 요소 실행 파일에 추가 메타데이터를 추가하는 작업을 포함합니다. 지정된 메타데이터는 디지털 서명되며 UEFI 보안 부팅에 대한 별도의 허용 또는 금지 구성 요소 목록에 포함될 수 있습니다.
SBAT는 디지털 서명 사용을 차단할 수 있습니다. 보안 부팅을 위해 키를 취소할 필요 없이 개별 구성 요소 버전 번호. SBAT를 통한 취약점 차단에는 UEFI CRL을 사용할 필요가 없습니다. (dbx) 대신 서명을 생성하고 배포판에서 제공하는 GRUB2, shim 및 기타 부팅 아티팩트를 업데이트하기 위해 내부 키 교체 수준에서 수행됩니다.
SBAT가 도입되기 전에는 공격자가 사용하는 운영 체제와 상관없이 부팅 가능한 미디어를 사용할 수 있으므로 인증서 해지 목록(dbx, UEFI 해지 목록)을 업데이트하는 것이 취약점을 완전히 차단하는 전제 조건이었습니다. UEFI 보안 부팅을 손상시키기 위해 디지털 서명으로 인증된 GRUB2.
최종적으로 수정 사항이 패치로 릴리스되었음을 언급할 가치가 있습니다., GRUB2의 문제를 해결하려면 패키지를 업데이트하는 것만으로는 충분하지 않습니다. 또한 새로운 내부 디지털 서명을 생성하고 설치 프로그램, 부트로더, 커널 패키지, fwupd-firmware 및 shim-layer를 업데이트해야 합니다.
배포판의 취약점 수정 상태는 다음 페이지에서 평가할 수 있습니다. Ubuntu, SUSE, RHEL, 페도라 y 데비안.
에서 자세히 확인할 수 있습니다. 다음 링크.