BootHole 新漏洞篡改 GRUB2 組件，影響大量 Windows 和 Linux 系統

預計Microsoft、Red Hat、Canonical、SuSE、Oracle、VMWare、Citrix和許多OEM都將發布BootHole補丁。

有關安全啟動過程核心組件中新漏洞的詳細信息已于今天發布。

代號為BootHole的漏洞，使攻擊者可以在啟動實際操作系統（OS）之前篡改引導加載過程。

此過程依賴于稱為引導加載程序的組件，該組件負責加載運行實際OS的所有計算機硬件組件的固件。

BootHole是GRUB2中的一個漏洞，GRUB2是當今最流行的Bootloader組件之一。當前，GRUB2用作所有主要Linux發行版的主要引導程序，有時還用于Windows，macOS和基于BSD的系統。

BOOTHOLE如何工作

BootHole漏洞是今年年初由Eclypsium的安全研究人員發現的。有關該漏洞的實際完整技術細節已于今天在Eclypium博客上公布。

研究人員說，BootHole允許攻擊者在引導加載過程中篡改GRUB2組件，以插入并執行惡意代碼，從而有效地使攻擊者植入可以完全控制操作系統的代碼，這些代碼在稍后啟動。

這種類型的惡意軟件通常被稱為Bootkit，因為它駐留在Bootloader中，主板物理內存中，與實際操作系統分開的位置，從而使其能夠在操作系統重新安裝后存活。

根據Eclypsium的說法，實際的BootHole漏洞位于grub.cfg內部，這是一個獨立于實際GRUB2組件的配置文件，引導加載程序從該文件中提取系統特定的設置。Eclypsium表示，攻擊者可以修改此文件中的值，以便在每次操作系統啟動時讀取GRUB2組件內的文件時觸發緩沖區溢出。

下圖顯示了BootHole攻擊的簡化說明，攻擊者可以從其中的一個或多個grub.cfg選項中竊取“溢出”代碼，以在GRUB2組件內執行惡意命令。

Eclypsium表示，BootHole可以被用于篡改引導BootLoader，甚至可以將其替換為惡意或易受攻擊的版本。

更糟糕的是，Eclypsium說，即使服務器或工作站啟用了安全啟動，BootHole攻擊也可以進行。

安全啟動是服務器/計算機使用加密檢查來確保啟動過程僅加載經過加密簽名的固件組件的過程。

即使在啟用安全啟動的情況下，BootHole攻擊也可以工作，因為對于某些設備或操作系統設置，安全啟動過程不會對grub.cfg文件進行加密驗證，從而使攻擊者可以篡改其內容。

這種攻擊也有一些局限性。Eclypsium表示，攻擊者需要管理員訪問權限才能篡改grub.cfg文件。這看起來像一個限制，但實際上并非如此。操作系統及其組件上充斥著“elevation of privilege”漏洞，這些漏洞可以作為BootHole攻擊鏈的一部分加以利用，以使惡意軟件獲得管理員訪問權限并修改grub.cfg。

此外，安全啟動過程是專門為防止高特權管理員帳戶破壞啟動過程而創建的，這意味著BootHole是IT生態系統最安全的操作之一中的主要安全漏洞。

今天晚些時候將推出補丁

在過去的幾個月中，Eclypsium一直在向整個硬件和軟件生態系統通報有關BootHole（CVE-2020-10713）的信息。

該公司估計每個Linux發行版都會受到此漏洞的影響，因為所有Linux發行版都使用GRUB2引導程序，這些引導程序從外部grub.cfg文件讀取命令。

Eclypsium說：“迄今為止，已知有80多種墊片受到影響。” 墊片是允許特定于供應商/ OEM的固件代碼與GRUB2交互的組件。

研究小組補充說：“除了Linux系統外，任何將安全啟動與標準Microsoft UEFI CA一起使用的系統都容易受到此問題的影響。”談到GRUB2可能會對在安全啟動過程中使用GRUB2的其他操作系統產生影響。

“因此，我們認為，當今使用的大多數現代系統，包括服務器和工作站，筆記本電腦和臺式機，以及大量基于Linux的OT和IoT系統，都可能受到這些漏洞的影響。”

Eclypsium表示，從今天開始以及未來幾天和幾周內，各種IT公司都將發布補丁程序以解決其產品中的BootHole問題。

該安全廠商表示，它期望來自以下方面的安全警報和補丁：

• Microsoft
• UEFI Security Response Team (USRT)
• Oracle
• Red Hat (Fedora and RHEL)
• Canonical (Ubuntu）
• SuSE(SLES and openSUSE)
• Debian
• Citrix
• HP
• VMware
• OEMs
• Software vendors, including security software

Eclypsium表示，修補程序將花費很長時間，因為修復Bootloader漏洞通常是一個復雜的過程，因為該過程涉及大量組件和高級加密技術。無論如何，請在將來的變更日志中查找CVE-2020-10713補丁。