Một nhóm các nhà nghiên cứu an ninh mạng hôm nay đã tiết lộ chi tiết về lỗ hổng rủi ro cao mới ảnh hưởng đến hàng tỷ thiết bị trên toàn thế giới, bao gồm máy chủ và máy trạm, máy tính xách tay, máy tính để bàn và hệ thống IoT chạy gần như mọi hệ thống phân phối Linux hoặc Windows.
Được mệnh danh là ‘BootHole‘và được theo dõi là CVE-2020-10713, lỗ hổng được báo cáo nằm trong bộ tải khởi động GRUB2, nếu được khai thác, có khả năng cho phép kẻ tấn công bỏ qua tính năng Secure Boot và có quyền truy cập lén lút và lén lút vào các hệ thống được nhắm mục tiêu.
Secure Boot là một tính năng bảo mật của Giao diện phần mềm mở rộng hợp nhất (UEFI) sử dụng bộ tải khởi động để tải các thành phần quan trọng, thiết bị ngoại vi và hệ điều hành trong khi đảm bảo rằng chỉ có mã được ký mã hóa thực thi trong quá trình khởi động.
“Một trong những mục tiêu thiết kế rõ ràng của Secure Boot là ngăn chặn mã trái phép, thậm chí chạy với các đặc quyền của quản trị viên, để có được các đặc quyền bổ sung và sự kiên trì trước hệ điều hành bằng cách vô hiệu hóa Secure Boot hoặc sửa đổi chuỗi khởi động”, báo cáo giải thích.
Lỗ hổng bộ nạp khởi động GRUB2
Được phát hiện bởi các nhà nghiên cứu từ Eclypsium, BootHole là một lỗ hổng tràn bộ đệm ảnh hưởng đến tất cả các phiên bản GRUB2 và tồn tại theo cách nó phân tích nội dung từ tệp cấu hình, thường không được ký như các tệp khác và thực thi lỗi để kẻ tấn công phá vỡ cơ hội. gốc phần cứng của cơ chế tin cậy.
Cần lưu ý, tệp grub.cfg nằm trong phân vùng hệ thống EFI và do đó, để sửa đổi tệp, kẻ tấn công vẫn cần một chỗ đứng ban đầu trên hệ thống được nhắm mục tiêu với các đặc quyền quản trị viên cuối cùng sẽ cung cấp cho kẻ tấn công sự leo thang bổ sung đặc quyền và kiên trì trên thiết bị.
Mặc dù GRUB2 là bộ tải khởi động tiêu chuẩn được sử dụng bởi hầu hết các hệ thống Linux, nhưng nó cũng hỗ trợ các hệ điều hành, hạt nhân và trình ảo hóa khác như XEN.
Các nhà nghiên cứu cho biết: “Tràn bộ đệm cho phép kẻ tấn công có được mã thực thi tùy ý trong môi trường thực thi UEFI, có thể được sử dụng để chạy phần mềm độc hại, thay đổi quy trình khởi động, vá trực tiếp nhân hệ điều hành hoặc thực hiện bất kỳ hành động độc hại nào khác”.
Do đó, để khai thác lỗ hổng BootHole trên các hệ thống Windows, kẻ tấn công có thể thay thế bộ tải khởi động mặc định được cài đặt trên hệ thống Windows bằng phiên bản GRUB2 dễ bị tấn công để cài đặt phần mềm độc hại rootkit.
“Vấn đề cũng mở rộng sang bất kỳ thiết bị Windows nào sử dụng Secure Boot với Cơ quan cấp chứng chỉ UEFI của bên thứ ba tiêu chuẩn của Microsoft”, báo cáo viết.
Theo báo cáo chi tiết Các nhà nghiên cứu đã chia sẻ với The Hacker News, lỗ hổng này có thể dẫn đến hậu quả lớn và chủ yếu là do cuộc tấn công cho phép tin tặc thực thi mã độc ngay cả trước khi hệ điều hành khởi động, khiến phần mềm bảo mật khó phát hiện sự hiện diện của phần mềm độc hại hoặc loại bỏ phần mềm độc hại.
Bên cạnh đó, nhà nghiên cứu cũng nói thêm rằng “môi trường thực thi UEFI không có Ngẫu nhiên bố trí không gian địa chỉ (ASLR) hoặc Ngăn chặn thực thi dữ liệu (DEP / NX) hoặc các công nghệ giảm thiểu khai thác khác thường thấy trong các hệ điều hành hiện đại, do đó tạo ra các khai thác cho loại này dễ bị tổn thương dễ dàng hơn đáng kể. “
Chỉ cần cài đặt bản cập nhật và bản vá lỗi sẽ không giải quyết được vấn đề
Các chuyên gia tại Eclypsium đã liên hệ với các đơn vị công nghiệp liên quan, bao gồm các nhà cung cấp hệ điều hành và nhà sản xuất máy tính, để giúp họ khắc phục vấn đề.
Tuy nhiên, nó dường như không phải là một nhiệm vụ dễ dàng để khắc phục vấn đề hoàn toàn.
Chỉ cần cài đặt các bản vá với bộ tải khởi động GRUB2 đã cập nhật sẽ không giải quyết được vấn đề, bởi vì những kẻ tấn công vẫn có thể thay thế bộ tải khởi động hiện có của thiết bị bằng phiên bản dễ bị tấn công.
Theo Eclypsium, ngay cả “giảm thiểu sẽ yêu cầu bộ tải khởi động mới được ký và triển khai, và bộ nạp khởi động dễ bị tổn thương nên được thu hồi để ngăn chặn kẻ thù sử dụng các phiên bản cũ hơn, dễ bị tấn công trong một cuộc tấn công.”
Vì vậy, các nhà cung cấp bị ảnh hưởng trước tiên sẽ cần phát hành các phiên bản mới của bộ nạp khởi động của họ để được ký bởi UEFI CA của bên thứ 3.
Cuối cùng, danh sách hủy bỏ UEFI (dbx) sau đó cũng cần được cập nhật trong phần sụn của mỗi hệ thống bị ảnh hưởng để ngăn việc chạy mã dễ bị tổn thương này trong khi khởi động.
Quá trình giảm thiểu nhiều giai đoạn này có thể sẽ mất nhiều năm để các tổ chức hoàn thành việc vá lỗi.
“Tuy nhiên, việc triển khai đầy đủ quy trình thu hồi này có thể sẽ rất chậm. Các bản cập nhật liên quan đến UEFI đã có lịch sử làm cho các thiết bị không thể sử dụng được và các nhà cung cấp sẽ cần phải rất thận trọng. Nếu danh sách hủy bỏ (dbx) được cập nhật trước một Linux cụ thể bootloader và shim được cập nhật, sau đó hệ điều hành sẽ không tải “, các nhà nghiên cứu cảnh báo.
Trong một tham mưu được phát hành hôm nay, Microsoft đã thừa nhận vấn đề này, thông báo rằng nó “đang hoạt động để hoàn thành kiểm tra tính tương thích và kiểm tra tính tương thích của một Windows Update được yêu cầu nhằm giải quyết lỗ hổng này.”
Nó cũng khuyến nghị người dùng áp dụng các bản vá bảo mật ngay khi chúng được tung ra trong vài tuần tới.
Bên cạnh Microsoft, nhiều bản phân phối Linux phổ biến cũng đã phát hành các tư vấn liên quan giải thích lỗ hổng, giảm thiểu có thể và dòng thời gian trên các bản vá bảo mật sắp tới.
Đây là danh sách cho tất cả các tư vấn:
