Išnaudojami šie trūkumai gali leisti užpuolikams gauti neteisėtą prieigą prie slaptos informacijos arba apskritai sukelti problemų.
Išsami informacija apie du GRUB2 įkrovos pažeidžiamumus buvo atskleista, kad pgali sukelti kodo vykdymą naudojant specialiai sukurtus šriftus ir tvarkant tam tikras unikodo sekas.
Minima, kad aptikti pažeidžiamumai yrae gali būti naudojamas apeiti UEFI saugaus įkrovos patvirtintą įkrovos mechanizmą. Dėl GRUB2 pažeidžiamumų kodą galima vykdyti sėkmingai atlikus patikrinimą, bet prieš įkeliant operacinę sistemą, nutraukiant pasitikėjimo grandinę, kai aktyvus saugaus įkrovos režimas, ir visiškai valdyti po įkrovos vykstantį procesą, pvz., Norėdami paleisti kitą operacinę sistemą, modifikuoti operacinės sistemos komponentus ir apeiti užrakto apsaugą.
Kalbant apie nustatytus pažeidžiamumus, minima:
- CVE-2022-2601: buferio perpildymas funkcijoje grub_font_construct_glyph() apdorojant specialiai sukurtus šriftus pf2 formatu, kuris atsiranda dėl neteisingo parametro max_glyph_size apskaičiavimo ir atminties srities, kuri yra akivaizdžiai mažesnė, nei reikia glifams įdėti, paskirstymo.
- CVE-2022-3775: Rašymas už ribų, kai kai kurios Unicode eilutės pateikiamos tinkintu šriftu. Problema yra šrifto tvarkymo kode ir kyla dėl to, kad trūksta tinkamų valdiklių, užtikrinančių, kad glifo plotis ir aukštis atitiktų esamą bitmap dydį. Užpuolikas gali surinkti įvestį taip, kad iš paskirto buferio būtų išrašyta duomenų eilė. Pažymima, kad nepaisant pažeidžiamumo išnaudojimo sudėtingumo, neatmetama galimybė, kad problema gali būti vykdoma naudojant kodą.
Norint visiškai sumažinti visų CVE, reikės pataisų, atnaujintų naudojant naujausią SBAT (Secure Boot Advanced Targeting) ir platintojų bei tiekėjų teikiami duomenys.
Šį kartą UEFI atšaukimų sąrašas (dbx) nebus naudojamas, o sugedusių atšaukimas
artefaktai bus gaminami tik naudojant SBAT. Norėdami gauti informacijos apie tai, kaip taikyti
naujausius SBAT atšaukimus, žr. mokutil(1). Pardavėjo pataisymai gali būti aiškiai leisti paleisti senesnius žinomus įkrovos artefaktus.GRUB2, tarpiklis ir kiti įkrovos artefaktai iš visų paveiktų pardavėjų bus atnaujinti. jis bus prieinamas, kai embargas bus panaikintas arba po kurio laiko.
Paminėta, kad dauguma Linux platinimų naudoja mažą pataisų sluoksnį, skaitmeniniu parašu „Microsoft“, kad būtų galima patikrinti įkrovą UEFI saugaus įkrovos režimu. Šis sluoksnis patikrina GRUB2 su savo sertifikatu, kuri leidžia platinimo kūrėjams nesertifikuoti kiekvieno branduolio ir GRUB naujinimo su „Microsoft“.
Norėdami užblokuoti pažeidžiamumą neatšaukiant skaitmeninio parašo, platinimai gali naudoti SBAT mechanizmą (UEFI Secure Boot Advanced Targeting), kurį palaiko GRUB2, shim ir fwupd populiariausiuose Linux platinimuose.
SBAT buvo sukurtas bendradarbiaujant su Microsoft ir apima papildomų metaduomenų įtraukimą į UEFI komponento vykdomuosius failus, įskaitant gamintojo, produkto, komponento ir versijos informaciją. Nurodyti metaduomenys yra pasirašyti skaitmeniniu būdu ir gali būti įtraukti į atskirus leidžiamų arba draudžiamų UEFI saugaus įkrovos komponentų sąrašus.
SBAT leidžia blokuoti skaitmeninio parašo naudojimą atskiriems komponentų versijų numeriams, nereikia atšaukti saugaus įkrovimo raktų. Norint blokuoti pažeidžiamumą naudojant SBAT, nereikia naudoti UEFI CRL (dbx), bet veikiau atliekama vidinio rakto pakeitimo lygiu, kad būtų generuojami parašai ir atnaujinamas GRUB2, tarpiklis ir kiti platinimų teikiami įkrovos artefaktai.
Prieš įdiegiant SBAT, sertifikatų panaikinimo sąrašo (dbx, UEFI panaikinimo sąrašo) atnaujinimas buvo būtina sąlyga norint visiškai užblokuoti pažeidžiamumą, nes užpuolikas, nepriklausomai nuo naudojamos operacinės sistemos, galėjo naudoti įkrovos laikmeną. su pažeidžiama senesne versija GRUB2 sertifikuotas skaitmeniniu parašu, siekiant pažeisti UEFI saugų įkrovą.
Pagaliau Verta paminėti, kad pataisa buvo išleista kaip pataisa., norint išspręsti GRUB2 problemas, neužtenka atnaujinti paketą, taip pat turėsite sukurti naujus vidinius skaitmeninius parašus ir atnaujinti diegimo programas, įkrovos įkroviklius, branduolio paketus, fwupd-firmware ir shim-layer.
Paskirstymų pažeidžiamumo ištaisymo būseną galima įvertinti šiuose puslapiuose: ubuntu, SUSA, RHEL, Minkšta fetrinė skrybėlė y Debianas.
Daugiau apie tai galite patikrinti sekanti nuoroda.