Исследователи заявили, что GRUB2, одна из наиболее широко используемых в мире программ для загрузки компьютеров, имеет уязвимость, которая может упростить злоумышленникам запуск вредоносных программ во время запуска. Это затронет миллионы или, возможно, сотни миллионов машин. Хотя GRUB2 в основном используется на компьютерах под управлением Linux, атаки, использующие эту уязвимость, могут выполняться и на многих ПК под управлением Windows. Уязвимость, обнаруженная исследователями из охранной фирмы Eclypsium, представляет собой еще одну серьезную угрозу для UEFI Secure Boot, общепромышленного стандарта, который использует криптографические подписи, чтобы обеспечить доверие к программному обеспечению, используемому во время запуска, производителю компьютера. Безопасная загрузка была разработана, чтобы не дать злоумышленникам захватить процесс загрузки путем замены предполагаемого программного обеспечения на вредоносное программное обеспечение. Более незаметные, более мощные и трудно поддающиеся лечению Так называемые буткиты относятся к числу наиболее серьезных типов инфекций, поскольку они работают на самом низком уровне программного стека. Это позволяет вредоносным программам быть незаметнее большинства вредоносных программ, выдерживать переустановки операционной системы и обходить встроенные в ОС средства защиты. Boot Hole, как исследователи назвали уязвимость, происходит из-за переполнения буфера в том, как GRUB2 анализирует текст в grub.cfg, основном файле конфигурации загрузчика. Добавляя длинные текстовые строки в файл, злоумышленники могут переполнить пространство памяти, выделенное для файла, и заставить вредоносный код перетекать в другие части памяти, где он затем выполняется. Файл конфигурации не имеет цифровой подписи, поэтому Secure Boot не обнаружит, когда он был злонамеренно изменен. GRUB2 также не использует рандомизацию адресного пространства, предотвращение выполнения данных и другие средства защиты от эксплойтов, которые являются стандартными в операционных системах. Эти упущения делают использование уязвимости злоумышленниками, которые уже закрепились на целевом компьютере, тривиально. Оттуда они могут полностью обойти защиту, которую многие люди ожидают, чтобы предотвратить захват буткитов. Помимо отчета о Eclypsium, Debian предоставляет здесь полный обзор. Но есть некоторые основные уловки. Однако серьезность уязвимости компенсируется несколькими причинами. Во-первых, злоумышленник должен иметь права администратора на компьютере или физический доступ к компьютеру. Контроль на уровне администратора становится все труднее получить в современных ОС из-за значительных достижений, которые они сделали, чтобы блокировать эксплойты. Физический доступ может быть легче во время пересечения границы или в подобные моменты, когда пользователь ненадолго теряет физическое владение компьютером. Но требование в большинстве других сценариев слишком велико, поэтому вряд ли это затронет многих пользователей. Более того, физическое владение сильно ограничивает масштабируемость атак. Два других фактора делают Boot Hole менее пугающим: у злоумышленников, которые уже имеют административный или физический контроль над компьютером, уже есть множество других способов заражения его передовыми и скрытыми вредоносными программами. Кроме того, существует несколько других известных способов обхода безопасной загрузки. «Я бы сказал, что Безопасная загрузка не является основой безопасности ПК сегодня, потому что она редко эффективна, и их [Eclypsium’s] собственно, уже более года это было легко обойти, и долгосрочной перспективы не предвидится », — сказал мне вице-президент по исследованиям и разработкам Atredis Partners Х.Д. Мур. «Я не уверен, для чего полезно переполнение буфера в GRUB2, поскольку существуют другие проблемы, если grub.cfg не подписан. «Это может быть полезно в качестве вектора вредоносного ПО, но даже в этом случае нет причин использовать переполнение буфера, когда вместо этого можно использовать собственный файл grub.cfg для цепной загрузки реальной ОС». Другие исследователи, похоже, согласны с оценкой. CVE-2020-10713, так как уязвимость отслеживается, имеет уровень серьезности Умеренный. Заявление Eclypsium, о котором упоминал Мур, включает отзыв в феврале фирмы по безопасности загрузчиков «Лаборатории Касперского», которая использовалась в качестве аварийного диска для запуска отключенных компьютеров. Отзыв вызвал так много проблем, что Microsoft, которая наблюдает за процессом проверки, откатила изменения. Отмена подчеркивает не только сложность исправления недостатков, таких как Boot Hole (подробнее об этом позже), но и тот факт, что уже возможно обойти Secure Boot. Не страшно, не значит, не серьезно. Препятствия и ограничения эксплуатации не означают, что к уязвимости не стоит относиться серьезно. Безопасная загрузка была создана именно для сценария, необходимого для использования Boot Hole. Риск усугубляется количеством пострадавших производителей компьютеров и программного обеспечения. Eclypsium имеет более полный список пострадавших. К ним относятся: унифицированный расширяемый интерфейс встроенного ПО Microsoft ForumOracle Red Hat (Fedora и RHEL) Canonical (Ubuntu) SuSE (SLES и openSUSE) Debian Citrix VMware Различные производители компьютеров Поставщики программного обеспечения, включая программное обеспечение для обеспечения безопасности Еще одним серьезным соображением являются проблемы выпуска обновлений, которые не будет постоянно препятствовать запуску машины, это явление часто называют кирпичным. Как показывает инцидент с Касперским, риск реален и может иметь тяжелые последствия. Исправление беспорядка само по себе является беспорядком. Исправления включают многоэтапный процесс, который не будет тривиальным или, во многих случаях, быстрым. Сначала необходимо обновить GRUB2, чтобы устранить уязвимость, а затем распространить ее среди производителей или администраторов крупных организаций. Там инженеры должны будут тщательно протестировать обновление на каждой модели компьютера, которую они поддерживают, чтобы убедиться, что машина не зависает. Обновления должны быть исправлены для машин, которые делают. Только тогда обновление будет готово к установке в целом. Даже в этом случае для злоумышленников с вышеописанными привилегиями будет просто откатить GRUB2 до уязвимой версии и использовать переполнение буфера. Хотя на машинах Windows обычно не установлен GRUB2, привилегированные злоумышленники могут установить его. Чтобы закрыть эту лазейку, производители компьютеров должны будут отозвать криптографические сигнатуры, которые проверяют старую версию или прошивку «подкладки», которая загружает старую версию. Этот шаг также подвергается риску брикетирования машин. Если подписи аннулируются до установки версии GRUB2 — или в случае подписей машин Windows для других загрузочных компонентов — перед проведением достаточного тестирования, миллионы компьютеров также подвергаются риску обмана. Чтобы предотвратить эту возможность, Microsoft, Red Hat, Canonical и другие производители ОС и оборудования обычно предлагают исправления в два этапа. Во-первых, будет выпущено обновление GRUB2, и только после того, как оно будет проверено и признано безопасным, его можно будет установить. Затем, после периода, который может длиться несколько месяцев, подписи будут аннулированы. Только после завершения второго шага уязвимость будет исправлена. Microsoft, которая управляет центром сертификации, который сертифицирует подписи UEFI, должным образом авторизованные производителями, выпустила следующее заявление: Нам известно об уязвимости в GRand Unified Boot Loader (GRUB), обычно используемом в Linux. Чтобы воспользоваться этой уязвимостью, злоумышленнику понадобятся административные привилегии или физический доступ в системе, в которой безопасная загрузка настроена для доверия ЦС Microsoft UEFI. Мы работаем над завершением проверки и проверки совместимости необходимого пакета Центра обновления Windows. Представитель Microsoft заявил, что компания предоставит ИТ-администраторам, которые в срочном порядке нуждаются в «варианте смягчения для установки непроверенного обновления». Представитель компании заявил, что в неуказанное время Microsoft выпустит исправление для общего доступа. Microsoft выпустила статью базы знаний здесь. Советы от других затронутых компаний слишком многочисленны, чтобы их можно было найти в начальной версии этой статьи. В настоящее время читатели должны проверять веб-сайты затронутых компаний. Этот пост будет обновлен позже, чтобы предоставить ссылки. На данный момент нет причин для паники. Высокие требования к эксплойтам делают степень уязвимости умеренной. И, как уже упоминалось, безопасная загрузка уже уязвима для других методов обхода. Это не значит, что нет причин серьезно относиться к этой уязвимости. Установите исправление как можно быстрее, но только после тщательного тестирования, либо опытными пользователями, либо уязвимыми производителями ОС и программного обеспечения. А пока не теряй сон.

Читайте также:
OnePlus объявляет 15 лучших предложений по бета-версии IDEAS