La vulnerabilidad de &#39BootHole&#39 expone el arranque seguro …


Una falla en el cargador de arranque GRUB2 afecta a la mayoría de los dispositivos Linux y algunas computadoras con Windows que usan UEFI Protected Boot.

Una vulnerabilidad recién descubierta en el gestor de arranque GRUB2, denominada BootHole, puede amenazar a las máquinas Linux y Home windows que utilizan el arranque seguro. Los atacantes que lo explotan podrían interferir con el proceso de arranque y controlar cómo se carga el sistema operativo (SO), evitando los controles de seguridad.

El proceso de arranque es crítico para asegurar cualquier dispositivo. Se basa en una variedad de firmware para inicializar y controlar diferentes componentes de una máquina, y coordina cómo se carga el sistema operativo.

«Durante el proceso de arranque, todo lo que se carga antes es generalmente un privilegio más alto que algo que se carga más tarde», dice Jesse Michael, investigador principal de Eclypsium, donde los investigadores descubrieron BootHole (CVE-2020-10713). BootHole tiene una puntuación CVSS alta de 8.2.

El arranque seguro está destinado a proteger el proceso de arranque del código malicioso. Utiliza firmas criptográficas para verificar cada pieza de código según sea necesario durante el proceso de arranque También incluye la capacidad de firmar gestores de arranque desde sistemas operativos que no son de Microsoft. Grand Unified Bootloader (GRUB) es el gestor de arranque que carga y transfiere el command al sistema operativo en la mayoría de las distribuciones de Linux.

Si bien GRUB2 es el gestor de arranque principal para las distribuciones modernas de Linux, este error afecta a los sistemas que utilizan el arranque seguro incluso si no están utilizando GRUB2. Este problema también se extiende a los dispositivos Windows que utilizan el Arranque seguro con la Autoridad de certificación UEFI de terceros de Microsoft estándar, lo que significa que la mayoría de las computadoras portátiles, computadoras de escritorio, servidores y estaciones de trabajo se ven afectadas, junto con los dispositivos y equipos de red utilizados en los sectores industrial, sanitario y financiero, Los investigadores informan.

«El propósito de Safe Boot era limitarlo solo a las imágenes firmadas», dice John Loucaides, vicepresidente de investigación y desarrollo de Eclypsium. «Dado que este problema se encuentra en un gestor de arranque firmado, puede soltarlo en cualquier sistema que ejecute el Arranque seguro y evitaría esa protección».

BootHole es una vulnerabilidad de desbordamiento de búfer que existe en la forma en que GRUB2 analiza el contenido del archivo de configuración GRUB2. El archivo de configuración GRUB2 es un archivo de texto y generalmente no está firmado como otros archivos y ejecutables. Como resultado de esta falla, un atacante podría cambiar el contenido del archivo de configuración GRUB2 para garantizar que se ejecute código malicioso antes de cargar el sistema operativo.

Este ataque requeriría privilegios elevados o acceso físico a un sistema donde el Arranque seguro está configurado para confiar en la CA UEFI de Microsoft. Un atacante podría instalar un gestor de arranque GRUB afectado para obtener privilegios aún mayores y persistir en el dispositivo. La explotación exitosa permitiría a un atacante deshabilitar futuras comprobaciones de integridad del código, permitiendo que se carguen más ejecutables y controladores. Tendrían handle sobre el sistema operativo, las aplicaciones y los datos del dispositivo.

El ataque funcionaría incluso si el Arranque seguro está habilitado y se verifican correctamente las firmas en todos los ejecutables cargados, informan los investigadores.

Una solución compleja a un problema complejo
En un informe técnico de la vulnerabilidad, Informes de eclypsium todas las versiones de GRUB2 que cargan comandos desde un archivo de configuración externo grub.cfg son vulnerables, con la excepción de un proveedor de herramientas de arranque que agregó un código personalizado para la verificación de firmas.

«Como tal, esto requerirá el lanzamiento de nuevos instaladores y cargadores de arranque para todas las versiones de Linux», dijeron los investigadores. «Los proveedores deberán lanzar nuevas versiones de sus calzas de cargador de arranque para ser firmadas por la UEFI CA de terceros de Microsoft».

Eclypsium coordinó la divulgación de hoy con los proveedores, fabricantes y CERT de sistemas operativos. Los nuevos gestores de arranque deberán firmarse e implementarse los vulnerables deben ser revocados para evitar que los adversarios usen versiones anteriores en un ataque. Las empresas que se espera que envíen avisos y / o actualizaciones hoy incluyen Microsoft, UEFI Safety Response Group, Oracle, Crimson Hat, Canonical, SuSE, Debian, Citrix, VMware y varios fabricantes de equipos originales y proveedores de software program.

Hasta que se agreguen todas las versiones afectadas a la lista de revocación de dbx, un atacante podrá usar una versión vulnerable de shim y GRUB2 para apuntar a un sistema, lo que significa que cada dispositivo que confíe en la CAFI UEFI de terceros de Microsoft estará expuesto hasta entonces. Algunos fabricantes de equipos originales que controlan las pilas de hardware y software package en sus dispositivos usan su propia clave para firmar GRUB2. También deberán proporcionar actualizaciones y revocación de versiones vulnerables de GRUB2 para sus sistemas.

«Es algo malo cuando solucionar el problema es un problema, y ​​este es uno de esos casos», dice Loucaides sobre la complejidad de parchear BootHole. Este problema requerirá que los administradores de los dispositivos afectados actualicen las versiones instaladas de los sistemas operativos, así como las imágenes instaladas, incluidos los medios de recuperación ante desastres. También deberán coordinarse: si la lista de revocación se actualiza antes de un gestor de arranque de Linux y una cuña, el SO no se cargará. Antes de que las actualizaciones de revocación se envíen a una empresa, los medios de recuperación e instalación deben actualizarse.

«Ese tipo de complicación es lo que trato de resaltar para la gente, especialmente con un gran departamento de TI y un equipo no está consultando con el otro equipo cuando implementan estas actualizaciones», dice Loucaides. Tener todas estas actualizaciones a la vez requerirá muchas pruebas manuales por parte de los administradores, y se espera que este sea un proceso largo.

En respuesta al informe inicial de Eclypsium, los investigadores canónicos analizaron GRUB2 con mayor escrutinio y encontraron vulnerabilidades adicionales. Se está realizando un esfuerzo en toda la industria para identificar y corregir más vulnerabilidades que aún no tienen asignados CVE individuales.

Contenido relacionado:

Regístrese ahora para el Black Hat United states of america totalmente digital de este año, programado para el 1 y 6 de agosto, y obtenga más información sobre el evento en el sitio web de Black Hat. Haga clic para obtener detalles sobre información de la conferencia y para registrarse.

Kelly Sheridan es la Editora de own de Dark Reading through, donde se enfoca en noticias y análisis de seguridad cibernética. Ella es una periodista de tecnología de negocios que previamente informó para InformationWeek, donde cubrió Microsoft, y Insurance plan & Technology, donde cubrió asuntos financieros … Ver biografía completa

Lectura recomendada:

Más concepts





Enlace a la noticia initial