Linux Distros ramt af RCE sårbarhed i Shim Bootloader

Linux Distros ramt af RCE sårbarhed i Shim Bootloader

Tidsstempel: 7. februar 2024 kl. 5:17
Linux Distros Hit by RCE Vulnerability in Shim Bootloader PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Linux shim, et lille stykke kode, som mange store Linux-distributører bruger under den sikre opstartsproces, har en sårbarhed for fjernudførelse af kode, der giver angribere en måde at tage fuldstændig kontrol over berørte systemer.

Alle Linux-distributioner, der understøtter Secure Boot, inklusive Red Hat, Ubuntu, debbian, , SUSE er berørt af fejlen, identificeret som CVE-2023-40547. Fejlen er den mest alvorlige af seks sårbarheder i Linux shim, som dens vedligeholder Red Hat afslørede for nylig - og som den har udsendt en opdatering til (shim 15.8). Bill Demirkapi, en forsker ved Microsofts Security Response Center, som opdagede fejlen og rapporterede den til Red Hat, har beskrevet den som hver Linux-bootloader, der er underskrevet i det sidste årti.

Out-of-Bounds skrivefejl

I sin rådgivning sagde Red Hat, at fejlen havde at gøre med, at shim-opstartskoden stolede på angriberkontrollerede værdier ved parsing af et HTTP-svar. "Denne fejl giver en angriber mulighed for at lave en specifik ondsindet HTTP-anmodning, hvilket fører til et fuldstændigt kontrolleret out-of-bounds skrive primitivt og komplet systemkompromis."

National Vulnerability Database (NVD) og Red Hat havde lidt forskellige holdninger til alvoren af ​​sårbarheden og dens udnyttelse. Det NVD tildelte fejlen en næsten maksimal sværhedsgrad på 9.8 ud af 10 på CVSS 3.1-skalaen og identificerede det som noget, som en angriber kunne udnytte over netværket med lille kompleksitet og kræver ingen brugerinteraktion eller privilegier.

Red Hat gav fejlen en mere beskeden sværhedsgrad på 8.3 og beskrev den som kun udnyttelig gennem et tilstødende netværk og involverer høj angrebskompleksitet. Det var en vurdering, som vedligeholdere af de andre berørte Linux-distros delte med Ubuntu, for eksempel ved at kalde CVE-2023-40547 for en "medium" sværhedsfejl, og SUSE tildelte den en "vigtig" vurdering, som typisk er et hak lavere end kritisk.

Red Hat forklarede de forskellige sværhedsgrader således: "CVSS-score for open source-komponenter afhænger af leverandørspecifikke faktorer (f.eks. version eller build-kæde). Derfor kan Red Hats score og effektvurdering være anderledes end NVD og andre leverandører." Både NVD og Red Hat var dog enige om, at sårbarheden har en stor indvirkning på datafortrolighed, integritet og tilgængelighed.

En shim bootloader er dybest set en lille app, der indlæses før hovedoperativsystemets bootloader på Unified Extensible Firmware Interface (UEFI)-baserede systemer. Det fungerer som en bro mellem UEFI-firmwaren og de vigtigste OS-bootloadere, som i Linux tilfælde typisk er GRUB eller system-boot. Dens funktion er at verificere den primære OS bootloader, før den indlæses og køres.

Flere angrebsvektorer

Forskere fra software forsyningskæde sikkerhedsleverandør Eclypsium identificeret tre forskellige veje som en angriber kan bruge for at udnytte sårbarheden. Det ene er via et man-in-the-middle (MiTM)-angreb, hvor modstanderen opsnapper HTTP-trafik mellem offeret og HTTP-serveren, der serverer filerne til at understøtte HTTP-opstart. "Angriberen kan være placeret på et hvilket som helst netværkssegment mellem offeret og den legitime server."

En hacker med tilstrækkelige rettigheder på et sårbart system kan også udnytte sårbarheden lokalt ved at manipulere data i Extensible Firmware Interface (EFI) variabler eller på EFI-partitionerne. "Dette kan opnås med en live Linux USB-stick. Opstartsrækkefølgen kan derefter ændres, så et eksternt og sårbart shim indlæses på systemet."

En angriber på samme netværk som offeret kan også manipulere pre-boot eksekveringsmiljøet for at kædeindlæse en sårbar shim bootloader, sagde Eclypsium. "En angriber, der udnytter denne sårbarhed, får kontrol over systemet, før kernen indlæses, hvilket betyder, at de har privilegeret adgang og evnen til at omgå alle kontroller implementeret af kernen og operativsystemet," bemærkede leverandøren.

Overdreven sværhedsgrad?

Nogle sikkerhedseksperter opfattede dog sårbarheden som krævende en høj grad af kompleksitet og tilfældighed at udnytte. Lionel Litty, chefsikkerhedsarkitekt hos Menlo Security, siger, at udnyttelsesgrænsen er høj, fordi angriberen allerede skal have opnået administratorrettigheder på en sårbar enhed. Eller de skal målrette mod en enhed, der bruger netværksstart og også være i stand til at udføre et man-in-the-midten-angreb på den lokale netværkstrafik på den målrettede enhed.

"Ifølge forskeren, der fandt sårbarheden, kan en lokal angriber ændre EFI-partitionen for at ændre opstartssekvensen for derefter at være i stand til at udnytte sårbarheden," siger Litty. "[Men] at ændre EFI-partitionen vil kræve at være en fuldt privilegeret administrator på offermaskinen," siger han.

Hvis enheden bruger netværksstart, og angriberen kan udføre MITM på trafikken, så er det, når de kan målrette bufferoverløbet. "De ville returnere et forkert udformet HTTP-svar, der ville udløse fejlen og give dem kontrol over opstartssekvensen på dette tidspunkt," siger Litty. Han tilføjer, at organisationer med maskiner, der bruger HTTP-opstart eller PXE-opstart (pre-boot execution environment) bør være bekymrede, især hvis kommunikationen med boot-serveren er i et miljø, hvor en modstander kan sætte sig selv ind i trafikken.

Shachar Menashe, seniordirektør for sikkerhedsforskning hos JFrog, siger, at Red Hats vurdering af sårbarhedens alvor er mere nøjagtig end NVDs "overdrevne" score.

Der er to mulige forklaringer på uoverensstemmelsen, siger han. "NVD leverede scoren baseret på nøgleord fra beskrivelsen og ikke en grundig analyse af sårbarheden," siger han. For eksempel, hvis man antager, at "ondsindet HTTP-anmodning" automatisk oversættes til en netværksangrebsvektor.

NVD kan også hentyde til et ekstremt usandsynligt worst-case-scenarie, hvor offermaskinen allerede er konfigureret til at starte op via HTTP fra en server uden for det lokale netværk, og angriberen allerede har kontrol over denne HTTP-server. "Dette er et ekstremt usandsynligt scenarie, som ville forårsage tonsvis af problemer, selv uden relation til denne CVE," siger Shachar.

Tidsstempel:

Mere fra Mørk læsning