BootHole 新漏洞篡改 GRUB2 组件，影响大量 Windows 和 Linux 系统

预计Microsoft、Red Hat、Canonical、SuSE、Oracle、VMWare、Citrix和许多OEM都将发布BootHole补丁。

有关安全启动过程核心组件中新漏洞的详细信息已于今天发布。

代号为BootHole的漏洞，使攻击者可以在启动实际操作系统（OS）之前篡改引导加载过程。

此过程依赖于称为引导加载程序的组件，该组件负责加载运行实际OS的所有计算机硬件组件的固件。

BootHole是GRUB2中的一个漏洞，GRUB2是当今最流行的Bootloader组件之一。当前，GRUB2用作所有主要Linux发行版的主要引导程序，有时还用于Windows，macOS和基于BSD的系统。

BOOTHOLE如何工作

BootHole漏洞是今年年初由Eclypsium的安全研究人员发现的。有关该漏洞的实际完整技术细节已于今天在Eclypium博客上公布。

研究人员说，BootHole允许攻击者在引导加载过程中篡改GRUB2组件，以插入并执行恶意代码，从而有效地使攻击者植入可以完全控制操作系统的代码，这些代码在稍后启动。

这种类型的恶意软件通常被称为Bootkit，因为它驻留在Bootloader中，主板物理内存中，与实际操作系统分开的位置，从而使其能够在操作系统重新安装后存活。

根据Eclypsium的说法，实际的BootHole漏洞位于grub.cfg内部，这是一个独立于实际GRUB2组件的配置文件，引导加载程序从该文件中提取系统特定的设置。Eclypsium表示，攻击者可以修改此文件中的值，以便在每次操作系统启动时读取GRUB2组件内的文件时触发缓冲区溢出。

下图显示了BootHole攻击的简化说明，攻击者可以从其中的一个或多个grub.cfg选项中窃取“溢出”代码，以在GRUB2组件内执行恶意命令。

Eclypsium表示，BootHole可以被用于篡改引导BootLoader，甚至可以将其替换为恶意或易受攻击的版本。

更糟糕的是，Eclypsium说，即使服务器或工作站启用了安全启动，BootHole攻击也可以进行。

安全启动是服务器/计算机使用加密检查来确保启动过程仅加载经过加密签名的固件组件的过程。

即使在启用安全启动的情况下，BootHole攻击也可以工作，因为对于某些设备或操作系统设置，安全启动过程不会对grub.cfg文件进行加密验证，从而使攻击者可以篡改其内容。

这种攻击也有一些局限性。Eclypsium表示，攻击者需要管理员访问权限才能篡改grub.cfg文件。这看起来像一个限制，但实际上并非如此。操作系统及其组件上充斥着“elevation of privilege”漏洞，这些漏洞可以作为BootHole攻击链的一部分加以利用，以使恶意软件获得管理员访问权限并修改grub.cfg。

此外，安全启动过程是专门为防止高特权管理员帐户破坏启动过程而创建的，这意味着BootHole是IT生态系统最安全的操作之一中的主要安全漏洞。

今天晚些时候将推出补丁

在过去的几个月中，Eclypsium一直在向整个硬件和软件生态系统通报有关BootHole（CVE-2020-10713）的信息。

该公司估计每个Linux发行版都会受到此漏洞的影响，因为所有Linux发行版都使用GRUB2引导程序，这些引导程序从外部grub.cfg文件读取命令。

Eclypsium说：“迄今为止，已知有80多种垫片受到影响。” 垫片是允许特定于供应商/ OEM的固件代码与GRUB2交互的组件。

研究小组补充说：“除了Linux系统外，任何将安全启动与标准Microsoft UEFI CA一起使用的系统都容易受到此问题的影响。”谈到GRUB2可能会对在安全启动过程中使用GRUB2的其他操作系统产生影响。

“因此，我们认为，当今使用的大多数现代系统，包括服务器和工作站，笔记本电脑和台式机，以及大量基于Linux的OT和IoT系统，都可能受到这些漏洞的影响。”

Eclypsium表示，从今天开始以及未来几天和几周内，各种IT公司都将发布补丁程序以解决其产品中的BootHole问题。

该安全厂商表示，它期望来自以下方面的安全警报和补丁：

• Microsoft
• UEFI Security Response Team (USRT)
• Oracle
• Red Hat (Fedora and RHEL)
• Canonical (Ubuntu）
• SuSE(SLES and openSUSE)
• Debian
• Citrix
• HP
• VMware
• OEMs
• Software vendors, including security software

Eclypsium表示，修补程序将花费很长时间，因为修复Bootloader漏洞通常是一个复杂的过程，因为该过程涉及大量组件和高级加密技术。无论如何，请在将来的变更日志中查找CVE-2020-10713补丁。