Dell PowerEdge 服务器：有关 2021 年 3 月 （GRUB） 漏洞披露的其他信息

常见问题：        

问：哪些平台会受到影响？
答：启用了 UEFI 安全启动的 Dell PowerEdge 服务器和利用的平台会受到影响。戴尔建议客户查看其作系统提供商的建议，以获取更多信息，包括适当的识别和其他缓解措施。
客户应遵循安全最佳实践，并防止未经授权对设备进行物理访问。客户还可以采取以下措施来进一步保护自己免受物理攻击。

1. 设置 BIOS 管理员密码以防止更改 BIOS 设置配置，例如启动设备和安全启动模式。
2. 配置引导设置以仅允许引导至内部引导设备。

问：我使用的是 Windows作系统。我是否受到影响？
答：是的。Windows作系统受到影响。对平台具有物理访问权限或作系统管理员权限的恶意行为者可能会加载易受攻击的 GRUB UEFI 二进制文件和启动时间恶意软件。请参阅：  ADV200011 — 安全更新指南 - Microsoft — Microsoft 用于解决 GRUB

中的安全功能绕过问题的指南问：我使用的是 VMWare ESXi作系统。我是否受到影响？
答：请参阅：VMware 对 GRUB2 安全漏洞

的回应问：我需要做些什么来解决这个漏洞？
答：GRUB 修补程序 - 作为 Linux作系统供应商公告的一部分，他们应该推出更新的 GRUB 二进制文件，或者在某些情况下推出内核更新。我们建议您遵循 Linux 分发供应商发布的建议，以正确的顺序将受影响的软件包更新到 Linux 分发供应商提供的最新版本。

问：我在运行 Linux。如何知道我的系统上是否启用了安全启动？
答：要验证系统的安全启动状态，请使用以下作系统命令：     
问：我按照 Linux 分发公告安装了修补程序，但我的系统不再启动。
一个：如果应用 Linux 分发供应商的更新后安全启动失败，请使用以下选项之一进行恢复：     

• 引导至救援 DVD，并尝试重新安装以前版本的 shim、grub2 和内核。
• 使用以下步骤将 BIOS dbx 数据库重置为出厂默认值，并删除任何 dbx 应用的更新（来自作系统供应商或其他方式）：

问：我已配置我的戴尔服务器，使其不使用安全启动授权签名数据库 （db） 中的公共 UEFI CA 证书。我的戴尔服务器是否仍然容易受到 GRUB2 攻击？
答：否，完成此作后，您将实现了 UEFI 安全启动自定义功能，并且您的系统不再容易受到当前已知漏洞（CVE-2020-14372、CVE-2020-25632、CVE-2020-25647、CVE-2020-27749、CVE-2020-27779、CVE-2021-20225、CVE-2021-20233 和 CVE-2020-10713、CVE-2020-14308、CVE-2020-14309、CVE-2020-14310、CVE-2020-14311、CVE-2020-15705、CVE-2020-15706、CVE-2020-15707 ）

问：如何查看服务器的安全启动授权签名数据库 （db） 中的内容？
答：请 在此处查看此文档。您可以通过 RACADM、WS-MAN、WINRM、Redfish 和 BIOS F2 设置来执行此作，具体取决于您配置访问控制的方式。


其他参考资料：     
有关 GRUB2 漏洞的更多信息，请参阅 Dell EMC PowerEdge 服务器：有关 GRUB2 漏洞 —“BootHole”的其他信息