Server Dell EMC PowerEdge: Ulteriori informazioni sulla vulnerabilità GRUB2 - "BootHole"
Summary: Un gruppo di vulnerabilità divulgate in GRUB (Grand Unified Bootloader), note come "BootHole", possono consentire il bypass di Secure Boot.
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Security Article Type
Security KB
CVE Identifier
N/A
Issue Summary
Piattaforme interessate:
Server Dell EMC PowerEdge con UEFI Secure Boot abilitato
Details
Come indicato nell'Avviso sulla sicurezza Dell, la risposta di Dell alle vulnerabilità Grub2 che possono consentire l'esclusione dell'avvio sicuro, un gruppo di vulnerabilità divulgate in GRUB (Grand Unified Bootloader), note come "BootHole", possono consentire l'esclusione dell'avvio sicuro.
La funzione Secure Boot è supportata sui server PowerEdge di 13a generazione e versioni successive quando si utilizza un sistema operativo (OS) che supporta anche questa funzione. L'elenco delle matrici di supporto del sistema operativo PowerEdge è disponibile qui.
Windows:
I sistemi operativi Windows sono interessati in quanto un utente malintenzionato con accesso fisico alla piattaforma o privilegi di amministratore del sistema operativo potrebbe caricare un binario GRUB UEFI vulnerabile.
I clienti che eseguono Windows sui propri server PowerEdge devono fare riferimento alle indicazioni fornite da Microsoft in Microsoft https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200011
Linux:
Per verificare lo stato di avvio protetto del sistema, utilizzare il seguente comando del sistema operativo:
L'avvio UEFI è disabilitato; Secure Boot è disabilitato:
# mokutil --sb-state
Le variabili EFI non sono supportate su questo sistema
L'avvio UEFI è abilitato; Secure Boot è disabilitato:
# mokutil --sb-state
Secure Boot disabilitato
Secure Boot è abilitato:
# mokutil --sb-state
Secure Boot abilitato
Recommendations
Le distribuzioni Linux supportate dai server Dell EMC PowerEdge, Red Hat Enterprise Linux, SuSE Enterprise Linux e Ubuntu, hanno rilasciato pacchetti aggiornati contenenti correzioni per i CVE citati in precedenza.
Si consiglia di seguire le raccomandazioni pubblicate dai fornitori della distribuzione Linux per aggiornare i pacchetti interessati, nell'ordine corretto, alle versioni più recenti fornite dal fornitore della distribuzione Linux.
Se Secure Boot non riesce dopo l'applicazione degli aggiornamenti del vendor della distribuzione Linux, utilizzare una delle seguenti opzioni per eseguire il ripristino:
- Avviare da un DVD di ripristino e tentare di reinstallare la versione precedente di shim, grub2 e kernel.
- Reimpostare il database dbx del BIOS ai valori predefiniti di fabbrica e rimuovere eventuali aggiornamenti dbx applicati (dal fornitore del sistema operativo o in altro modo) utilizzando la procedura seguente:
- Accedere alla configurazione del BIOS (F2)
- Selezionare "System Security".
- Impostare "Secure Boot Policy" su "Custom"
- Selezionare "Secure Boot Custom Policy Settings"
- Selezionare "Forbidden Signature Database (dbx)"
- Selezionare "Restore Default Forbidden Signature Database" -> "Yes" -> "OK"
- Impostare "Secure Boot Policy" su "Standard"
- Salva ed esci
Avvertenza: Una volta ripristinato il database dbx alle impostazioni di fabbrica, il sistema non è più sottoposto a patch ed è vulnerabile a queste e ad altre vulnerabilità, risolte negli aggiornamenti successivi.
Avvertenze relative ai vendor per la distribuzione Linux
Legal Disclaimer
Affected Products
Datacenter Scalable Solutions, PowerEdge, Microsoft Windows 2008 Server R2, SUSE Linux Enterprise Server 11, SUSE Linux Enterprise Server 12, Red Hat Enterprise Linux Version 6, Red Hat Enterprise Linux Version 7, Red Hat Enterprise Linux Version 8
, SUSE Linux Enterprise Server 15
...
Article Properties
Article Number: 000177294
Article Type: Security KB
Last Modified: 21 Feb 2021
Version: 7
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.