Distro Linux Terkena Kerentanan RCE di Shim Bootloader

Linux shim, sepotong kecil kode yang digunakan oleh banyak distro Linux besar selama proses boot aman, memiliki kerentanan eksekusi kode jarak jauh di dalamnya yang memberikan penyerang cara untuk mengambil kendali penuh atas sistem yang terpengaruh.

Semua distribusi Linux yang mendukung Secure Boot, termasuk Red Hat, Ubuntu, debbian, dan SUSE terpengaruh oleh cacat tersebut, yang diidentifikasi sebagai CVE-2023-40547. Cacat ini adalah yang paling parah dari enam kerentanan di Linux shim yang diungkapkan oleh pengelola Red Hat baru-baru ini — dan telah dikeluarkan pembaruannya (shim 15.8). Bill Demirkapi, peneliti di Pusat Respons Keamanan Microsoft yang menemukan bug tersebut dan melaporkannya ke Red Hat, menggambarkannya sebagai setiap bootloader Linux ditandatangani dalam dekade terakhir.

Kesalahan Penulisan Di Luar Batas

Dalam penasehatannya, Red Hat mengatakan bug tersebut ada hubungannya dengan kode boot shim yang mempercayai nilai-nilai yang dikontrol penyerang ketika mengurai respons HTTP. “Kelemahan ini memungkinkan penyerang untuk membuat permintaan HTTP berbahaya tertentu, sehingga menyebabkan kompromi sistem primitif dan lengkap di luar batas yang sepenuhnya terkontrol.”

Basis Data Kerentanan Nasional (NVD) dan Red Hat memiliki pandangan yang sedikit berbeda mengenai tingkat keparahan kerentanan dan kemampuan eksploitasinya. Itu NVD menetapkan bug tersebut mendekati tingkat keparahan maksimum sebesar 9.8 dari 10 pada skala CVSS 3.1 dan mengidentifikasinya sebagai sesuatu yang dapat dieksploitasi oleh penyerang melalui jaringan dengan sedikit kompleksitas dan tidak memerlukan interaksi atau hak istimewa pengguna.

Red Hat memberi bug tersebut skor tingkat keparahan yang lebih sederhana yaitu 8.3 dan menggambarkannya sebagai bug yang hanya dapat dieksploitasi melalui jaringan yang berdekatan dan melibatkan kompleksitas serangan yang tinggi. Itu adalah penilaian yang dibagikan oleh pengelola distro Linux lain yang terkena dampak dengan Ubuntu, misalnya, menyebut CVE-2023-40547 sebagai bug dengan tingkat keparahan “sedang” dan SUSE memberinya peringkat “penting” yang biasanya satu tingkat lebih rendah dari kritis.

Red Hat menjelaskan perbedaan skor tingkat keparahan sebagai berikut: “Skor CVSS untuk komponen open source bergantung pada faktor spesifik vendor (misalnya versi atau rantai pembuatan). Oleh karena itu, skor dan peringkat dampak Red Hat dapat berbeda dengan NVD dan vendor lainnya.” Baik NVD maupun Red Hat sepakat bahwa kerentanan ini berdampak besar pada kerahasiaan, integritas, dan ketersediaan data.

Bootloader shim pada dasarnya adalah aplikasi kecil yang dimuat sebelum bootloader sistem operasi utama pada sistem berbasis Unified Extensible Firmware Interface (UEFI). Ini bertindak sebagai jembatan antara firmware UEFI dan bootloader OS utama, yang dalam kasus Linux, biasanya GRUB atau boot sistem. Fungsinya untuk memverifikasi bootloader OS utama sebelum memuat dan menjalankannya.

Beberapa Vektor Serangan

Peneliti dari rantai pasokan perangkat lunak vendor keamanan Eclypsium diidentifikasi tiga jalur berbeda yang bisa dilakukan penyerang untuk mengeksploitasi kerentanan. Salah satunya adalah melalui serangan man-in-the-middle (MiTM), di mana musuh mencegat lalu lintas HTTP antara korban dan server HTTP yang menyajikan file untuk mendukung boot HTTP. “Penyerang dapat berlokasi di segmen jaringan mana pun antara korban dan server yang sah.”

Penyerang dengan hak istimewa yang cukup pada sistem yang rentan juga dapat mengeksploitasi kerentanan secara lokal dengan memanipulasi data dalam variabel Extensible Firmware Interface (EFI) atau pada partisi EFI. “Hal ini dapat dilakukan dengan stik USB Linux langsung. Urutan booting kemudian dapat diubah sehingga shim jarak jauh dan rentan dimuat pada sistem.”

Penyerang di jaringan yang sama dengan korban juga dapat memanipulasi lingkungan eksekusi pra-boot untuk memuat bootloader shim yang rentan secara berantai, kata Eclypsium. “Penyerang yang mengeksploitasi kerentanan ini mendapatkan kendali atas sistem sebelum kernel dimuat, yang berarti mereka memiliki akses istimewa dan kemampuan untuk menghindari kendali apa pun yang diterapkan oleh kernel dan sistem operasi,” kata vendor tersebut.

Keparahan yang Berlebihan?

Namun, beberapa pakar keamanan menganggap kerentanan ini memerlukan tingkat kompleksitas dan kejadian yang tinggi untuk dapat dieksploitasi. Lionel Litty, kepala arsitek keamanan di Menlo Security, mengatakan batasan eksploitasi tinggi karena penyerang harus sudah mendapatkan hak administrator pada perangkat yang rentan. Atau mereka harus menargetkan perangkat yang menggunakan boot jaringan dan juga dapat melakukan serangan man-in-the-middle pada lalu lintas jaringan lokal perangkat target.

“Menurut peneliti yang menemukan kerentanan tersebut, penyerang lokal dapat memodifikasi partisi EFI untuk mengubah urutan boot agar kemudian dapat memanfaatkan kerentanan tersebut,” kata Litty. “[Tetapi] memodifikasi partisi EFI memerlukan hak istimewa penuh sebagai admin di mesin korban,” katanya.

Jika perangkat menggunakan boot jaringan dan penyerang dapat melakukan MITM pada lalu lintas, maka saat itulah mereka dapat menargetkan buffer overflow. “Mereka akan mengembalikan respons HTTP yang salah yang akan memicu bug dan memberi mereka kendali atas urutan booting pada saat ini,” kata Litty. Dia menambahkan bahwa organisasi dengan mesin yang menggunakan boot HTTP atau boot lingkungan eksekusi pra-boot (PXE) harus waspada, terutama jika komunikasi dengan server boot berada dalam lingkungan di mana musuh dapat memasukkan dirinya ke tengah lalu lintas.

Shachar Menashe, direktur senior penelitian keamanan di JFrog, mengatakan penilaian Red Hat terhadap tingkat keparahan kerentanan lebih akurat dibandingkan skor NVD yang “dilebih-lebihkan”.

Ada dua kemungkinan penjelasan atas perbedaan ini, katanya. “NVD memberikan skor berdasarkan kata kunci dari deskripsi, dan bukan analisis kerentanan secara menyeluruh,” katanya. Misalnya, dengan asumsi bahwa “permintaan HTTP berbahaya” secara otomatis diterjemahkan menjadi vektor serangan jaringan.

NVD mungkin juga mengacu pada skenario terburuk yang sangat tidak mungkin terjadi, yaitu mesin korban sudah dikonfigurasi untuk melakukan booting melalui HTTP dari server di luar jaringan lokal dan penyerang sudah memiliki kendali atas server HTTP ini. “Ini adalah skenario yang sangat tidak mungkin terjadi dan akan menimbulkan banyak masalah bahkan yang tidak terkait dengan CVE ini,” kata Shachar.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• PlatoData.Jaringan Vertikal Generatif Ai. Berdayakan Diri Anda. Akses Di Sini.
• PlatoAiStream. Intelijen Web3. Pengetahuan Diperkuat. Akses Di Sini.
• PlatoESG. Karbon, teknologi bersih, energi, Lingkungan Hidup, Tenaga surya, Penanganan limbah. Akses Di Sini.
• PlatoHealth. Kecerdasan Uji Coba Biotek dan Klinis. Akses Di Sini.
• Sumber: https://www.darkreading.com/vulnerabilities-threats/rce-vulnerability-in-shim-bootloader-impacts-all-linux-distros