Linuxista löytyi erittäin vakava haavoittuvuus – iskee ennen varsinaista bootloaderia
Kuva: @ Pixabay
Uuden, erittäin vakavana pidetyn haavoittuvuuden ytimessä on niin sanottu ”shim”.
Uusi kriittinen haavoittuvuus koskee kaikkia Linux-järjestelmiä, jotka käyttävät Secure Boot -ominaisuutta. Linux-kehittäjät yrittävät parhaillaan kehittää haavoittuvuudelle paikkausta, jonka katsotaan olevan erittäin vakavaa tasoa.
CVE-2023-40547 -haavoittuvuuteen isketään laiteohjelmistotasolla, jonka kautta on mahdollista päästä tietokonejärjestelmän alimpiin kerroksiin. Hyökkäystä on vaikea havaita ja haittaohjelmaa poistaa.
Puskurin ylivuodon hyödyntäminen shim-osiossa sallii hyökkääjien ajaa koodia shimin avulla jokainen kerta, kun Linux-laite käynnistyy. Shim on ennen UEFI-laiteohjelmiston käynnistystä käytettävä esilataaja, joka lataa varsinaisen bootloaderin kuten LILOn tai GRUBin.
Eclypsiumin mukaan hyökkäystapoja on useampia. Hyökkääjä voi tehdä man-in-the-middle-tyyppisen hyökkäyksen ja siepata HTTP-liikenteen uhrin ja HTTP-palvelimen välillä. Hyökkääjä voi sijaita missä tahansa uhrin ja laillisen palvelimen välisessä verkkosegmentissä.
Toisena, hyökkääjä, jolla on riittävät oikeudet käsitellä EFI-järjestelmäosiota, voi hyödyntää haavoittuvuutta myös paikallisesti. Tämä voidaan tehdä Linux-USB-tikulla ja muuttamalla boottausjärjestystä, jonka jälkeen järjestelmään ladataan haavoittuva shim. Tätä shimiä käytetään sen jälkeen suorittamaan koodia etänä.
Kolmantena hyökkäystapana hyökkääjä, joka on samassa verkossa uhrin kanssa, voi manipuloida PXE:tä (Preboot Execution Environment) ladatakseen järjestelmään haavoittuvan shimin.
Haavoittuvuutta käyttävä hyökkääjä saa järjestelmän hallintaansa ennen kernelin lataamista, joten hyökkääjällä on mahdollisuus kiertää kaikki kernelin ja käyttöjärjestelmän asettamat käyttörajoitukset. Haavoittuvuuden torjuntaan löytyy ohjeita täältä: Eclypsium.
