Исследователи из Eclypsium обнаружили серьезную уязвимость в загрузчике GRUB2, которая может быть использована киберпреступниками для контроля над системами Linux и другими ОС во время процесса загрузки, а также для установки срытых вредоносных загрузчиков-буткитов, которые будут работать даже если включить опцию SecureBoot (Безопасная загрузка).

Уязвимость BootHole оценена в 8.2 по CVSS и затрагивает системы, использующие почти каждую версию GRUB2. Таким образом, практически все дистрибутивы Linux находятся в зоне риска. Если вы думаете, что на этом плохие новости заканчиваются, то вы ошибаетесь: GRUB2 используется для поддержки других операционных систем и гипервизоров, таких как Xen. Проблема касается и Windows, если используется этот загрузчик.

Ожидается, что отдельные патчи и рекомендации будут выпущены в ближайшее время Microsoft, Oracle, Red Hat, Canonical, SuSE, Debian, Citrix, VMware и OEM-производителями.

Используя уязвимость BootHole, злоумышленники могут не только контролировать загрузку операционной системы, но и отключать практически любые средства защиты более высокого уровня. Уязвимость основана на переполнении буфера при работе GRUB2 и позволяет выполнять произвольный код при загрузке. Для этого требуется, чтобы злоумышленник имел повышенные привилегии доступа, чтобы менять содержимое файла конфигуратора загрузчика, вне зависимости от включенного SecureBoot. На практике это не такое уж большое ограничение, так как можно воспользоваться другими уязвимостями ОС.

Eclypsium согласовала ответственное раскрытие этой уязвимости с различными отраслевыми организациями, включая поставщиков ОС, производителей ПК и серверов, о чем она сообщила в своем блоге. Для устранения этой уязвимости производителям придется проделать большую работу по внесению изменений и выпуску патчей. В первую очередь обновления требует список отозванных UEFI-сертификатов dbx, что приведёт к невозможности загрузки старых сборок Linux.

Eclypsium рекомендует ИТ отделам и подразделениям ИБ проверить наличие у них возможностей для мониторинга загрузчиков и встроенного ПО UEFI и протестировать возможность восстановления по мере появления обновлений (включая параметры сброса к заводским настройкам).

UPD: как и ожидалось, выпущенные для GRUB2 обновления вызвали проблемы с их установкой и/или последующей загрузкой ОС. На ошибки жалуются, к примеру, пользователи RHEL и Debian/Ubuntu.

Компания AMD, как известно, работает над возвращением поддержки прошивки Coreboot с открытым исходным кодом в свои решения. И вот появилась новая информация на этот счёт.

Эдвард Бенюхис (Edward Benyukhis), глава отдела разработки прошивок сообщил в LinkedIn, что ищет специалиста по Coreboot и UEFI. Однако это не единственный факт в пользу поддержки свободной прошивки со стороны «красных». 

Компания стала спонсором тематической конференции Open-Source Firmware Conference, которая состоится на следующей неделе. Иначе говоря, AMD присоединилась к Amazon AWS, Arm, System76, TrustedFirmware.org и другим, которые поддерживают это мероприятие. Сама же конференция посвящена Coreboot, LinuxBoot, U-Boot и связанным с ними проектам на основе открытого исходного кода.

Отметим, что эти открытые прошивки не просто могут заменить проприетарные версии UEFI. Они также потенциально гарантируют отсутствие каких-либо «закладок», программных бэкдоров и так далее. То есть, повышают безопасность, что важно для корпоративных систем. Также следует отметить, что Google использует Coreboot в своих «хромбуках».