行業(yè)動態(tài)

安全啟動存在嚴(yán)重漏洞,幾乎所有Linux和Windows設(shè)備受影響

來源:聚銘網(wǎng)絡(luò)    發(fā)布時間:2020-07-31    瀏覽次數(shù):
 

信息來源:Freebuf


今日,網(wǎng)絡(luò)安全研究人員披露了一個新的高風(fēng)險漏洞的詳細(xì)信息。該漏洞影響了全球數(shù)十億設(shè)備,幾乎波及所有正在運行Linux發(fā)行版或Windows系統(tǒng)的服務(wù)器、工作站,筆記本電腦,臺式機及IoT系統(tǒng)。

因該漏洞位于GRUB2引導(dǎo)程序中,所以被稱為“ BootHole ”,并被標(biāo)記為CVE-2020-10713。一旦被利用,該漏洞可讓攻擊者避開安全啟動功能,并獲得高度特權(quán),隱身訪問目標(biāo)系統(tǒng)。

安全啟動是一項統(tǒng)一可擴展固件接口(UEFI)的安全功能。在啟動加載程序來加載關(guān)鍵組件,外圍設(shè)備及操作系統(tǒng)的同時,該接口還可確保在啟動過程中僅執(zhí)行已授權(quán)(sign)的代碼。該功能的設(shè)計目標(biāo)之一,是通過禁用安全啟動或以其他方式修改啟動鏈,來防止未經(jīng)授權(quán)的代碼(甚至具有管理員權(quán)限的運行)獲得其他特權(quán),或?qū)⒉僮飨到y(tǒng)持久化。”

今天,Microsoft確認(rèn)了該問題,并表示“正在完成解決此漏洞所需的Window更新涉及的驗證和兼容性測試”。除Microsoft外,許多主流的Linux發(fā)行版也發(fā)布了相關(guān)的公告,解釋了該缺陷,及可能的緩解措施和即將推出的安全補丁程序的時間表。

GRUB2引導(dǎo)程序出現(xiàn)緩存溢出漏洞

BootHole是一個緩存溢出漏洞,最早由Eclypsium的研究人員發(fā)現(xiàn)。它以解析配置文件中內(nèi)容的方式存在,會影響所有版本的GRUB2。該配置文件不像其他文件一樣需要授權(quán),所以為攻擊者提供了破解密碼的機會。

據(jù)詳細(xì)報告稱,此漏洞可能導(dǎo)致重大后果,因為該攻擊使黑客甚至在操作系統(tǒng)啟動之前就可以執(zhí)行惡意代碼,使得安全軟件很難檢測到惡意軟件,也很難將其刪除。利用Windows系統(tǒng)上的BootHole漏洞,攻擊者可以用易受攻擊的GRUB2版本替換Windows系統(tǒng)上的默認(rèn)引導(dǎo)程序,以便后續(xù)安裝rootkit惡意軟件。

研究人員表示,緩存溢出讓攻擊者可在UEFI執(zhí)行環(huán)境中獲得任意代碼執(zhí)行權(quán)限,這些代碼可以用于運行惡意軟件,更改啟動過程,直接修補操作系統(tǒng)內(nèi)核或執(zhí)行其他惡意操作。此外, UEFI執(zhí)行環(huán)境沒有地址空間布局隨機化(ASLR)、數(shù)據(jù)執(zhí)行保護(DEP / NX)或其他現(xiàn)代操作系統(tǒng)中常見的漏洞利用緩解及對抗技術(shù),因此很容易創(chuàng)建這種易被攻擊的漏洞。

不過,grub.cfg文件位于EFI系統(tǒng)分區(qū)中,因此,要修改該文件,攻擊者仍需要在有管理權(quán)限的目標(biāo)系統(tǒng)上落腳,這樣其最終才會獲取設(shè)備的額外特權(quán)及持久性。

報告稱:“其他使用了標(biāo)準(zhǔn)的微軟第三方UEFI 證書授權(quán),支持安全功能的Windows設(shè)備,也會受該漏洞的影響?!?

僅更新程序無法解決問題

Eclypsium的專家已經(jīng)聯(lián)系了操作系統(tǒng)供應(yīng)商和計算機制造商等相關(guān)企業(yè),以幫助解決此問題。但是,完全修補并不是一件易事。

僅僅使用更新的GRUB2引導(dǎo)程序來安裝補丁,無法解決該問題,因為攻擊者仍可以用易受攻擊的版本替換設(shè)備現(xiàn)有的引導(dǎo)程序。所以,Eclypsium提出,解決該問題時,需要部署新的引導(dǎo)程序并撤銷易受攻擊的引導(dǎo)程序。

受影響的供應(yīng)商需要先發(fā)布由Microsoft第三方UEFI CA授權(quán)的新引導(dǎo)程序,然后在受影響的系統(tǒng)固件中更新UEFI吊銷列表(dbx),以防止易受攻擊的代碼在引導(dǎo)過程中運行。這種多階段的緩解過程,可能需要花費數(shù)年完成最終修補。

研究人員警告,這個撤消過程的完整部署可能會非常慢。此外,因UEFI相關(guān)的更新曾出現(xiàn)使設(shè)備無法使用的情況,所以供應(yīng)商必須非常謹(jǐn)慎。如果吊銷列表(dbx)比給定的Linux 引導(dǎo)程序和shim提前更新,則操作系統(tǒng)將不會再加載。

以下是部分處理建議的鏈接:


 
 

上一篇:抖音回應(yīng)被判侵害用戶信息:信息由用戶授權(quán)上傳 會上訴

下一篇:2020年07月31日 聚銘安全速遞