Serwery PowerEdge Dell: Dodatkowe informacje dotyczące ujawnienia luki w zabezpieczeniach Marzec 2021 r. (GRUB)

Najczęściej zadawane pytania:        

Pytanie: Których platform dotyczy problem?
ZA: Problem dotyczy serwerów Dell PowerEdge i używanych platform z włączoną funkcją UEFI Secure Boot. Firma Dell zaleca klientom zapoznanie się z poradnikami dostawcy systemów operacyjnych w celu uzyskania dalszych informacji, w tym odpowiedniej identyfikacji i dodatkowych środków zaradczych.
Klient powinien przestrzegać najlepszych praktyk w zakresie bezpieczeństwa i zapobiegać nieautoryzowanemu fizycznemu dostępowi do urządzeń. Klient może również podjąć następujące środki w celu dalszej ochrony przed atakami fizycznymi.

1. Umożliwia ustawienie hasła administratora systemu BIOS, aby zapobiec zmianom konfiguracji systemu BIOS, np. urządzenia rozruchowego i trybu bezpiecznego rozruchu.
2. Skonfiguruj ustawienia rozruchu, aby zezwalać na rozruch tylko z wewnętrznego urządzenia rozruchowego.

Pytanie: Używam systemu operacyjnego Windows. Czy mnie to dotyczy?
ZA: Tak. Problem dotyczy systemów operacyjnych Windows. Złośliwy podmiot, który ma fizyczny dostęp do platformy lub uprawnienia administratora systemu operacyjnego, może załadować podatny na ataki plik binarny GRUB UEFI i złośliwe oprogramowanie w czasie rozruchu. Patrz:  ADV200011 - Przewodnik po aktualizacjach zabezpieczeń - Microsoft - Wskazówki firmy Microsoft dotyczące rozwiązywania problemu z obejściem funkcji zabezpieczeń w GRUB

Pytanie: Używam systemu operacyjnego VMWare ESXi. Czy mnie to dotyczy?
ZA. Patrz: Odpowiedź VMware na lukę

w zabezpieczeniach GRUB2Pytanie: Co należy zrobić, aby usunąć tę lukę?
ZA: Poprawka GRUB - W ramach porad dostawców systemów operacyjnych Linux oczekuje się, że wprowadzą oni zaktualizowane pliki binarne GRUB lub, w niektórych przypadkach, również aktualizacje jądra. Zachęcamy do przestrzegania opublikowanych zaleceń dostawców dystrybucji systemu Linux w celu zaktualizowania pakietów, których dotyczy problem, we właściwej kolejności, do najnowszych wersji dostarczanych przez dostawcę dystrybucji systemu Linux.

Pytanie: Używam Linuksa. Jak sprawdzić, czy w systemie jest włączony tryb Secure Boot?
ZA: Aby sprawdzić stan bezpiecznego rozruchu systemu, użyj następującego polecenia systemu operacyjnego:     
Pytanie: Poprawki zostały zainstalowane zgodnie z poradnikami dystrybucji systemu Linux, ale mój system już się nie uruchamia.
ZA: Jeśli bezpieczny rozruch nie powiedzie się po zastosowaniu aktualizacji dostawcy dystrybucji Linuksa, użyj jednej z następujących opcji, aby odzyskać:     

• Uruchom dysk ratunkowy z płyty DVD i spróbuj ponownie zainstalować poprzednią wersję narzędzia shim, grub2 i jądra.
• Zresetuj bazę danych dbx systemu BIOS do domyślnych wartości fabrycznych i usuń wszystkie zastosowane aktualizacje dbx (od dostawcy systemu operacyjnego lub w inny sposób), postępując zgodnie z następującą procedurą:

Pytanie: Serwer Dell został skonfigurowany w taki sposób, aby nie używał publicznego certyfikatu urzędu certyfikacji UEFI w bazie danych podpisów autoryzowanych (db) bezpiecznego rozruchu. Czy mój serwer Dell jest nadal podatny na ataki GRUB2?
ZA: Nie, po wykonaniu tej czynności zostanie zaimplementowana funkcja dostosowywania UEFI Secure Boot, a system nie będzie już podatny na znane luki w zabezpieczeniach (CVE-2020-14372, CVE-2020-25632, CVE-2020-25647, CVE-2020-27749, CVE-2020-27779, CVE-2021-20225, CVE-2021-20233 i CVE-2020-10713, CVE-2020-14308, CVE-2020-14309, CVE-2020-14310, CVE-2020-14311, CVE-2020-15705, CVE-2020-15706, CVE-2020-15707 )

Q: Jak sprawdzić, co znajduje się w bazie danych podpisów autoryzowanego rozruchu (db) bezpiecznego rozruchu na serwerze?
ZA: Zapoznaj się z tym dokumentem tutaj. W zależności od tego, jak skonfigurowano kontrolę dostępu, można to zrobić za pomocą ustawień RACADM, WS-MAN, WINRM, Redfish i F2 systemu BIOS. 


Dodatkowe źródła:     
Aby uzyskać dodatkowe informacje na temat luk w zabezpieczeniach GRUB2, zapoznaj się z artykułem Serwery Dell EMC PowerEdge: Dodatkowe informacje dotyczące luki w zabezpieczeniach GRUB2 — "BootHole"