Linux Distros kärsii RCE-haavoittuvuudesta Shim Bootloaderissa

Linux shim, pieni koodinpätkä, jota monet suuret Linux-jakelut käyttävät suojatun käynnistysprosessin aikana, sisältää koodin etäsuorittamisen haavoittuvuuden, jonka avulla hyökkääjät voivat ottaa täysin hallintaansa kyseiset järjestelmät.

Kaikki suojattua käynnistystä tukevat Linux-jakelut, mukaan lukien Red Hat, Ubuntu, Debbian, ja SUSE virhe, joka on tunnistettu CVE-2023-40547, vaikuttaa niihin. Vika on vakavin kuudesta Linux-shimin haavoittuvuudesta, jotka sen ylläpitäjä Red Hat paljasti äskettäin - ja joille se on julkaissut päivityksen (tiiviste 15.8). Bill Demirkapi, Microsoftin Security Response Centerin tutkija, joka löysi vian ja ilmoitti siitä Red Hatille, on kuvaillut sitä seuraavasti jokainen viimeisen vuosikymmenen aikana allekirjoitettu Linux-käynnistyslatain.

Rajojen ulkopuolinen kirjoitusvirhe

Red Hat sanoi neuvoa-antavassa ilmoituksessaan, että vika liittyi shim-käynnistyskoodiin, joka luotti hyökkääjän ohjaamiin arvoihin HTTP-vastausta jäsennettäessä. "Tämä virhe antaa hyökkääjän luoda tietyn haitallisen HTTP-pyynnön, mikä johtaa täysin kontrolloituun rajojen ulkopuoliseen kirjoitusprimitiiviseen ja täydelliseen järjestelmän vaarantumiseen."

National Vulnerability Database (NVD) ja Red Hat käsittelivät haavoittuvuutta ja sen hyödynnettävyyttä hieman eri tavalla. The NVD on määrittänyt virheen lähes maksimaalisen vakavuusluokituksen 9.8/10 CVSS 3.1 -asteikolla ja tunnisti sen olevan jotain, jota hyökkääjä voisi hyödyntää verkossa ilman monimutkaisuutta ja ilman käyttäjän toimia tai oikeuksia.

Red Hat antoi bugille vaatimattomamman vakavuuspisteen 8.3 ja kuvaili sitä hyödynnettäväksi vain viereisen verkon kautta ja hyökkäyksen monimutkaisuus on suuri. Se oli arvio, jonka muiden vaikutusalaan kuuluvien Linux-distrojen ylläpitäjät jakoivat Ubuntun kanssa, esimerkiksi kutsumalla CVE-2023-40547:tä "keskitason" vakavuuden bugiksi ja SUSE:n antamalla sille "tärkeän" luokituksen, joka on tyypillisesti pykälän kriittistä alhaisempi.

Red Hat selitti eri vakavuuspisteet seuraavasti: "Avoimen lähdekoodin komponenttien CVSS-pisteet riippuvat toimittajakohtaisista tekijöistä (esim. versio tai rakennusketju). Siksi Red Hatin pisteet ja vaikutusluokitus voivat poiketa NVD:n ja muiden toimittajien pisteistä." Sekä NVD että Red Hat olivat kuitenkin yhtä mieltä siitä, että haavoittuvuudella on suuri vaikutus tietojen luottamuksellisuuteen, eheyteen ja saatavuuteen.

Shim bootloader on pohjimmiltaan pieni sovellus, joka latautuu ennen pääkäyttöjärjestelmän käynnistyslatainta Unified Extensible Firmware Interface (UEFI) -pohjaisissa järjestelmissä. Se toimii siltana UEFI-laiteohjelmiston ja käyttöjärjestelmän tärkeimpien käynnistyslatainten välillä, mikä Linuxin tapauksessa on tyypillisesti GRUB tai järjestelmäkäynnistys. Sen tehtävänä on tarkistaa käyttöjärjestelmän pääkäynnistyslatain ennen sen lataamista ja suorittamista.

Useita hyökkäysvektoreita

Tutkijat ohjelmistojen toimitusketju tietoturvatoimittaja Eclypsium tunnistettu kolme eri polkua joita hyökkääjä voi käyttää hyväkseen haavoittuvuutta. Yksi on mies-in-the-middle (MiTM) -hyökkäys, jossa vastustaja sieppaa HTTP-liikennettä uhrin ja HTTP-palvelimen välillä, joka palvelee tiedostoja HTTP-käynnistystä tukevan. "Hyökkääjä voi sijaita missä tahansa verkkosegmentissä uhrin ja laillisen palvelimen välillä."

Hyökkääjä, jolla on riittävät oikeudet haavoittuvaisessa järjestelmässä, voi myös hyödyntää haavoittuvuutta paikallisesti käsittelemällä Extensible Firmware Interface (EFI) -muuttujien tai EFI-osioiden tietoja. "Tämä voidaan tehdä live Linux-USB-tikulla. Käynnistysjärjestystä voidaan sitten muuttaa siten, että järjestelmään ladataan etäinen ja haavoittuva välilevy."

Uhrin kanssa samassa verkossa oleva hyökkääjä voi myös manipuloida käynnistystä edeltävää suoritusympäristöä ketjulatatakseen haavoittuvan alustan käynnistyslataimen, Eclypsium sanoi. "Tätä haavoittuvuutta hyödyntävä hyökkääjä saa järjestelmän hallintaansa ennen ytimen lataamista, mikä tarkoittaa, että heillä on etuoikeutettu käyttöoikeus ja mahdollisuus kiertää ytimen ja käyttöjärjestelmän toteuttamia säätöjä", toimittaja huomautti.

Liioiteltu vakavuus?

Jotkut tietoturva-asiantuntijat kuitenkin havaitsivat haavoittuvuuden vaativan suurta monimutkaisuutta ja sattumanvaraisuutta hyödyntääkseen. Lionel Litty, Menlo Securityn turvallisuusarkkitehti, sanoo, että hyödyntämisrima on korkea, koska hyökkääjällä tulee olla jo järjestelmänvalvojan oikeudet haavoittuvassa asemassa olevaan laitteeseen. Tai heidän on kohdistattava laitteeseen, joka käyttää verkkokäynnistystä, ja kyettävä myös suorittamaan välimieshyökkäys kohteena olevan laitteen paikalliseen verkkoliikenteeseen.

"Haavoittuvuuden löytäneen tutkijan mukaan paikallinen hyökkääjä voi muokata EFI-osiota ja muuttaa käynnistysjärjestystä voidakseen sitten hyödyntää haavoittuvuutta", Litty sanoo. "[Mutta] EFI-osion muokkaaminen edellyttää uhrin koneen täysin etuoikeutettua järjestelmänvalvojaa", hän sanoo.

Jos laite käyttää verkkokäynnistystä ja hyökkääjä voi tehdä liikenteelle MITM:n, silloin he voivat kohdistaa puskurin ylivuodon. "He palauttaisivat virheellisesti muotoillun HTTP-vastauksen, joka laukaisi virheen ja antaisi heille kontrollin käynnistyssekvenssistä tässä vaiheessa", Litty sanoo. Hän lisää, että organisaatioiden, joiden koneet käyttävät HTTP-käynnistystä tai PXE-käynnistystä, tulisi olla huolissaan, varsinkin jos viestintä käynnistyspalvelimen kanssa on ympäristössä, jossa vastustaja voi tunkeutua liikenteen keskelle.

Shachar Menashe, JFrogin turvallisuustutkimuksen vanhempi johtaja, sanoo, että Red Hatin arvio haavoittuvuuden vakavuudesta on tarkempi kuin NVD:n "liioitellut" pisteet.

Hän sanoo, että erolle on kaksi mahdollista selitystä. "NVD antoi pisteet kuvauksen avainsanojen perusteella, eikä haavoittuvuuden perusteellista analyysiä", hän sanoo. Jos esimerkiksi oletetaan, että "haitallinen HTTP-pyyntö" muuttuu automaattisesti verkkohyökkäysvektoriksi.

NVD voi myös viitata erittäin epätodennäköiseen pahimpaan tapaukseen, jossa uhrikone on jo määritetty käynnistymään HTTP:n kautta paikallisverkon ulkopuolisesta palvelimesta ja hyökkääjä hallitsee jo tätä HTTP-palvelinta. "Tämä on äärimmäisen epätodennäköinen skenaario, joka aiheuttaisi paljon ongelmia, vaikka ei liity tähän CVE:hen", Shachar sanoo.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/vulnerabilities-threats/rce-vulnerability-in-shim-bootloader-impacts-all-linux-distros