Serwery Dell EMC PowerEdge: Dodatkowe informacje dotyczące luki w zabezpieczeniach GRUB2 — "BootHole"
Podsumowanie: Grupa ujawnionych luk w GRUB (Grand Unified Bootloader), znanych jako "BootHole", może pozwolić na obejście bezpiecznego rozruchu.
Typ artykułu o zabezpieczeniach
Security KB
Identyfikator CVE
N/A
Podsumowanie problemu
Dotyczy platform:
Serwery Dell EMC PowerEdge z włączoną funkcją UEFI Secure Boot
Szczegóły
Jak wspomniano w informacjach o zabezpieczeniach firmy Dell: reakcja firmy Dell na luki w zabezpieczeniach Grub2, które mogą umożliwić obejście bezpiecznego rozruchu. Grupa ujawnionych luk w GRUB (Grand Unified Bootloader), znanych jako "BootHole", pozwala na obejście bezpiecznego rozruchu.
Funkcja bezpiecznego rozruchu jest obsługiwana na serwerach PowerEdge 13G i nowszych w przypadku korzystania z systemu operacyjnego (OS), który również obsługuje tę funkcję. Listę matryc zgodności systemów operacyjnych PowerEdge można wyświetlić tutaj.
Windows:
Ma to wpływ na systemy operacyjne Windows, ponieważ osoba mająca fizyczny dostęp do platformy lub uprawnienia administratora systemu operacyjnego może załadować podatny plik binarny GRUB UEFI.
Klienci korzystający z systemu Windows na swoich serwerach PowerEdge powinni zapoznać się ze wskazówkami firmy Microsoft na stronie Microsoft https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200011
Linux:
Aby sprawdzić stan bezpiecznego rozruchu systemu, użyj następującego polecenia systemu operacyjnego:
Rozruch UEFI jest wyłączony; Bezpieczny rozruch jest wyłączony:
# mokutil --sb-stan
Zmienne EFI nie są obsługiwane w tym systemie
Rozruch UEFI jest włączony; Bezpieczny rozruch jest wyłączony:
# mokutil --sb-stan
Funkcja SecureBoot wyłączona
Funkcja Secure Boot jest włączona:
# mokutil --sb-stan
Funkcja SecureBoot włączona
Zalecenia
Dystrybucje systemu Linux obsługiwane przez serwery Dell EMC PowerEdge — Red Hat Enterprise Linux, SuSE Enterprise Linux i Ubuntu — opublikowały zaktualizowane pakiety zawierające poprawki do luk CVE wymienionych powyżej.
Zachęcamy do przestrzegania opublikowanych zaleceń dostawców dystrybucji systemu Linux w celu zaktualizowania pakietów, których dotyczy problem, we właściwej kolejności, do najnowszych wersji dostarczanych przez dostawcę dystrybucji systemu Linux.
Jeśli bezpieczny rozruch nie powiedzie się po zastosowaniu aktualizacji dostawcy dystrybucji Linuksa, użyj jednej z następujących opcji, aby odzyskać:
- Uruchom ratunkowy dysk DVD i spróbuj ponownie zainstalować poprzednią wersję shim, grub2 i jądra.
- Zresetuj bazę danych dbx systemu BIOS do domyślnych wartości fabrycznych i usuń wszystkie zastosowane aktualizacje dbx (od dostawcy systemu operacyjnego lub w inny sposób), postępując zgodnie z następującą procedurą:
- Przejdź do konfiguracji systemu BIOS (F2)
- Wybierz "Zabezpieczenia systemu"
- Ustaw dla "Secure Boot Policy" parametr "Custom"
- Wybierz opcję "Secure Boot Custom Policy Settings".
- Wybierz "Forbidden Signature Database (dbx)"
- Wybierz opcję "Przywróć domyślną bazę zabronionych sygnatur" - "Tak" ->> "OK"
- Ustaw dla "Secure Boot Policy" wartość "Standard"
- Zapisz i zamknij
Ostrzeżenie: Po zresetowaniu dbx bazy danych do domyślnych ustawień fabrycznych system nie jest już poprawiony i jest podatny na te i wszelkie inne luki w zabezpieczeniach, które zostały naprawione w późniejszych aktualizacjach.
Powiązane porady dla dostawców dystrybucji Linuksa