Zranitelnost v zavaděči GRUB 2

Byl nalezena a postupně je řešena (Red Hat, Ubuntu, ...) zranitelnost CVE-2015-8370 v systémovém zavaděči GRUB 2 (GRand Unified Bootloader). Problém se týká všech verzí od 1.98 (prosinec 2009) až do 2.02 (prosinec 2015). Útočník s fyzickým přístupem může obejít autentizaci nastavenou v zavaděči.

16.12.2015 21:45 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Lol Phirae]

No. Anebo třeba nabootovat z CD, USB nebo jiného disku.

[dutá palice]

A co když je celý disk šifrovaný?

[xm]

Tak útočníkovi nepomůže ani obejití autentizace Grubu.

[mikro]

Vzhladom na to, ze ti to umozni nainstalovat vlastny malware s root pravami, tak si myslim, ze tento bug utocnikovi pomoze cekom dost, aj v pripade zasifrovaneho disku.

[Conscript89]

Neni jednodussi ten disk vytahnout a zapsat na nej ten malvare z jineho pocitace, nez neco datlit na klavesnici v grub2-rescue?

[Conscript89]

oprava: malware

[kukacka]

Asi te to prekvapi, ale v rade pripadu to neni jednodussi.

[enkeys]

Vzhledem k tomu, ze v dnesni dobe, kdy pomalu kterykoliv.. mobil s linuxem (androidem chces li) za par tisic se umi chovat jako HID zarizeni a natukat ti tam automatizovane celej rootkit s vlastni tcp vrstvou klidne na 10 000 radku zabere par sekund..(ber to trosku s nadsazkou) :]

[petr_p]

Kam nainstalovat? Tyhle věci lze hlídat secure bootem nebo TPM.

[Pali]

A keď mám šifrovanú aj partíciu /boot, kde je uložený samotný Grub2? Potom ten malware nainštaluješ jedine tak, že nejakú partíciu zrušíš. Tým pádom ale s veľkou pravepodobnossťou už systém ani nenabootuje a malware bude nepoužiteľný...

[xm]

Tomu ale heslo v GRUBu tak jako tak nezabrání. Je to jen security by obscurity, nic víc.

Když mám šifrovaný disk, pak šifruji i boot partition, GRUB 2 to podporuje. Pak musíš zadat dešifrovací heslo, aby ses vůbec do GRUBu dostal.

Pořád je tu ale riziko, že ti někdo nahraje malware přímo do MBR. Proti tomu pomůže jedině TPM (viz antievilmaid) nebo EFI secureboot (s vlastními klíči).

[xm]

Ještě bych podotknul, že tím EFI securebootem si rozhodně nejsem jistý. Nahrát vlastní podpisové klíče jde, ale když jsem si to naposledy zjišťoval, zdálo se že defaultní platform klíče odstranit nelze. Takže secureboot je zdá se spíš jen bezpečnostní divadélko.

[tom62]

Když mám šifrovaný disk, pak šifruji i boot partition, GRUB 2 to podporuje.

Zrovna nedávno jsem řešil, jak šifrovat /boot na Debianu Jessie. Instalátor to nepovolí, je potřeba to udělat ručně po instalaci a vhodně nastavit, aby nebylo třeba heslo zadávat dvakrát. Kdyby byl zájem, můžu o tom napsat blog.

[Conscript89]

To jako ze grub preda nejakym zpusobem kernelu (nasledne userspace - cryptsetup) heslo/master klic a nebo je to tak ze v initramfs je /etc/crypttab odkazujici se na soubor klicem ktery je v ramdisku a nasledne na disku? Spis asi to druhe.

[tom62]

To druhé. Nestačí ale do crypttab přidat jen cestu ke klíči (který je v initramfs), je tam potřeba přidat i například keyscript=/bin/cat.

[Conscript89]

Hm, to jsem na Fedora/RHEL nikdy nemusel.

[j]

Pokud se dostanes k tomu HW, tak grub neni vubec zadna prekazka.

[pupu]

Rekl bych, ze fyzicky pristup neni nutny. Staci iLO/DRAC nebo neco podobneho. Nic moc...

[R]

Takato vzdialena sprava sa povazuje za ekvivalent fyzickeho pristupu (mozes ovladat lokalnu klavesnicu, vypinac, reset, datove media) a podla toho musi byt zabezpecena.