Dell EMC PowerEdge Sunucuları: GRUB2 Güvenlik Açığı – "BootHole" Hakkında Ek Bilgiler
Summary: GRUB'da (Grand Unified Bootloader) "BootHole" olarak bilinen bir grup açıklanmış güvenlik açığı, Secure Boot bypass'a izin verebilir.
Security Article Type
Security KB
CVE Identifier
N/A
Issue Summary
Etkilenen Platformlar:
UEFI Güvenli Önyüklemenin Etkinleştirildiği Dell EMC PowerEdge Sunucuları
Details
Dell Güvenlik Bildiriminde belirtildiği üzere Dell in güvenli önyüklemeyi atlamasına izin verebilecek Grub2 güvenlik açıklarına yanıtıGRUB'de (Grand Unified Bootloader) "BootHole" olarak bilinen bir grup açıklanmış güvenlik açığı, Güvenli Önyüklemeyi atlamaya izin verebilir.
Güvenli Önyükleme özelliği, bu özelliği de destekleyen bir işletim sistemi (OS) kullanılırken 13G ve daha yeni PowerEdge Sunucularda desteklenir. PowerEdge İşletim Sistemi Destek Matrislerinin listesini buradan görüntüleyebilirsiniz.
Windows:
Platforma fiziksel erişimi olan veya işletim sistemi yöneticisi ayrıcalıklarına sahip bir saldırganın güvenlik açığı bulunan bir GRUB UEFI ikili dosyası yüklemesinden Windows İşletim Sistemleri etkilenir.
PowerEdge Sunucularında Windows çalıştıran müşteriler, Microsoft'un şu adresteki kılavuzlarına başvurmalıdır https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200011
Linux:
Sisteminizin Güvenli Önyükleme durumunu doğrulamak için aşağıdaki işletim sistemi komutunu kullanın:
UEFI Önyüklemesi devre dışı; Güvenli Önyükleme devre dışıdır:
# mokutil --sb-state
EFI değişkenleri bu sistemde desteklenmez
UEFI Önyüklemesi etkindir; Güvenli Önyükleme devre dışıdır:
# mokutil --sb-state
SecureBoot devre dışı
Güvenli Önyükleme etkindir:
# mokutil --sb-state
SecureBoot etkinleştirildi
Recommendations
Dell EMC PowerEdge Sunucuları tarafından desteklenen Red Hat Enterprise Linux, SuSE Enterprise Linux ve Ubuntu Linux dağıtımları, yukarıda belirtilen CVE'lere yönelik düzeltmeler içeren güncellenmiş paketler yayımladı.
Etkilenen paketleri, Linux dağıtım satıcısı tarafından sağlanan en son sürümlere uygun sırayla güncelleştirmek için Linux dağıtım satıcılarının yayınlanmış önerilerini izlemenizi öneririz.
Linux dağıtım satıcısının güncellemelerini uyguladıktan sonra Güvenli Önyükleme başarısız olursa, kurtarmak için aşağıdaki seçeneklerden birini kullanın:
- Kurtarma DVD sine önyükleme yapın ve shim, grub2 ve kernel in önceki sürümünü yeniden yüklemeyi deneyin.
- Aşağıdaki prosedürü kullanarak BIOS dbx veritabanını fabrika varsayılan değerine sıfırlayın ve dbx uygulanan tüm güncellemeleri kaldırın (işletim sistemi satıcısından veya başka yollardan):
- BIOS Kurulumuna (F2) girin
- Sistem Güvenliği"ni seçin
- Secure Boot Policy" öğesini "Custom" değerine ayarlayın
- Secure Boot Custom Policy Settings" öğesini seçin
- "Yasaklı İmza Veritabanı (dbx)" öğesini seçin
- "Varsayılan Yasaklı İmza Veritabanını Geri Yükle" -> "Evet" -> "Tamam" ı seçin
- Secure Boot Policy" öğesini "Standard" değerine ayarlayın
- Kaydet ve çık
Uyarı: dbx veritabanınız fabrika varsayılanına sıfırlandıktan sonra, sisteminiz artık yama uygulanmaz ve bunlara ve diğer güvenlik açıklarına karşı savunmasızdır ve sonraki güncelleştirmelerde düzeltilir.
İlgili Linux dağıtım satıcısı danışma önerileri