Linux 发行版受到 Shim Bootloader 中的 RCE 漏洞攻击

Linux shim 是许多主要 Linux 发行版在安全启动过程中使用的一小段代码，其中存在远程代码执行漏洞，使攻击者能够完全控制受影响的系统。

所有支持安全启动的 Linux 发行版，包括 红帽, Ubuntu, Debian， 和 SUSE 受到该缺陷的影响，该缺陷的编号为 CVE-2023-40547。该缺陷是其维护者 Red Hat 最近披露的 Linux shim 中的六个漏洞中最严重的一个，并且已针对该缺陷发布了更新（垫片15.8）。微软安全响应中心的研究员 Bill Demirkapi 发现了该漏洞并将其报告给红帽，他将其描述为 过去十年中签署的每个 Linux 引导加载程序.

越界写入错误

红帽在其公告中表示，该漏洞与 shim 启动代码在解析 HTTP 响应时信任攻击者控制的值有关。 “此缺陷允许攻击者制作特定的恶意 HTTP 请求，从而导致完全受控的越界写入原语和完整的系统妥协。”

国家漏洞数据库 (NVD) 和红帽对于漏洞的严重性及其可利用性的看法略有不同。这 NVD 分配了该错误 在 CVSS 9.8 等级上，其严重性评级接近最高 10 分（满分 3.1 分），并将其确定为攻击者可以通过网络利用的东西，其复杂性很低，并且不需要用户交互或特权。

红帽给该漏洞给出了 8.3 的较为温和的严重性评分，并将其描述为只能通过相邻网络进行利用，并且涉及高攻击复杂性。其他受影响的 Linux 发行版的维护者与 Ubuntu 共享了一项评估，例如，称 CVE-2023-40547 为“中等”严重性错误，而 SUSE 则为其分配“重要”评级，该评级通常比严重级别低一个档次。

红帽这样解释了不同的严重性分数：“开源组件的 CVSS 分数取决于供应商特定的因素（例如版本或构建链）。因此，红帽的分数和影响评级可能与 NVD 和其他供应商不同。”不过，NVD 和红帽都一致认为该漏洞对数据机密性、完整性和可用性有很大影响。

shim 引导加载程序基本上是一个小型应用程序，在基于统一可扩展固件接口 (UEFI) 的系统上先于主操作系统引导加载程序加载。它充当 UEFI 固件和主操作系统引导加载程序之间的桥梁，对于 Linux，主操作系统引导加载程序通常是 GRUB 或系统引导加载程序。它的功能是在加载和运行主操作系统引导加载程序之前对其进行验证。

多种攻击媒介

研究人员 软件供应链 安全供应商 Eclypsium 已确定 三种不同的路径 攻击者可以利用该漏洞。一种是通过中间人 (MiTM) 攻击，攻击者拦截受害者与提供文件以支持 HTTP 启动的 HTTP 服务器之间的 HTTP 流量。 “攻击者可能位于受害者和合法服务器之间的任何网段上。”

在易受攻击的系统上拥有足够权限的攻击者还可以通过操纵可扩展固件接口 (EFI) 变量或 EFI 分区上的数据来在本地利用该漏洞。 “这可以通过实时 Linux U 盘来完成。然后可以更改启动顺序，以便在系统上加载远程且易受攻击的填充程序。”

Eclypsium 表示，与受害者位于同一网络的攻击者还可以操纵预启动执行环境来链式加载易受攻击的 shim 引导加载程序。该供应商指出：“利用此漏洞的攻击者在加载内核之前就获得了系统控制权，这意味着他们拥有特权访问权限，并且能够绕过内核和操作系统实现的任何控制。”

严重程度被夸大了吗？

不过，一些安全专家认为，利用该漏洞需要高度复杂性和偶然性。 Menlo Security 首席安全架构师 Lionel Litty 表示，利用门槛很高，因为攻击者需要已经获得易受攻击设备的管理员权限。或者他们需要针对使用网络启动的设备，并且还能够对目标设备的本地网络流量执行中间人攻击。

“根据发现该漏洞的研究人员的说法，本地攻击者可以修改 EFI 分区来修改启动顺序，然后能够利用该漏洞，”Litty 说。 “[但是]修改 EFI 分区需要成为受害机器上具有完全特权的管理员，”他说。

如果设备使用网络启动并且攻击者可以对流量执行 MITM，那么他们就可以瞄准缓冲区溢出。 “他们会返回一个格式错误的 HTTP 响应，这会触发错误并让他们控制此时的启动顺序，”Litty 说。他补充说，拥有使用 HTTP 启动或预启动执行环境 (PXE) 启动的计算机的组织应该感到担忧，特别是如果与启动服务器的通信处于对手可能将自己插入流量中间的环境中。

JFrog 安全研究高级总监 Shachar Menashe 表示，红帽对漏洞严重性的评估比 NVD“过度夸大”的评分更准确。

他说，这种差异有两种可能的解释。 “NVD 根据描述中的关键字提供分数，而不是对漏洞进行彻底分析，”他说。例如，假设“恶意 HTTP 请求”自动转换为网络攻击向量。

NVD 还可能暗指一种极不可能发生的最坏情况，即受害计算机已配置为通过 HTTP 从本地网络外部的服务器启动，并且攻击者已控制该 HTTP 服务器。 “这是一种极不可能发生的情况，即使与此 CVE 无关，也会造成大量麻烦，”Shachar 说。

• SEO 支持的内容和 PR 分发。 今天得到放大。
• PlatoData.Network 垂直生成人工智能。 赋予自己力量。 访问这里。
• 柏拉图爱流。 Web3 智能。 知识放大。 访问这里。
• 柏拉图ESG。 碳， 清洁科技, 能源， 环境， 太阳能， 废物管理。 访问这里。
• 柏拉图健康。 生物技术和临床试验情报。 访问这里。
• Sumber: https://www.darkreading.com/vulnerabilities-threats/rce-vulnerability-in-shim-bootloader-impacts-all-linux-distros