La vulnérabilité ‘BootHole’ met en danger des milliards de systèmes Windows et Linux

Des chercheurs d’une entreprise de recherche en sécurité, Eclypsium, ont découvert une vulnérabilité grave dans le chargeur de démarrage GRUB2 qui peut être exploitée par des attaquants pour insérer et exécuter du code malveillant pendant le processus de démarrage.

La vulnérabilité suivie sous le nom de CVE-2020-10713 et surnommée « BootHole », est une vulnérabilité de débordement de tampon dans GRUB2 (Grand Unified Bootloader), un logiciel qui charge un système d’exploitation (OS) en mémoire lorsque le système démarre.

Ce défaut compromet tous les systèmes d’exploitation (OS) qui utilisent GRUB2 avec Secure Boot, un composant conçu pour protéger le processus de démarrage contre les attaques, même s’il est actif. De plus, la vulnérabilité affecte les systèmes utilisant Secure Boot, même s’ils n’utilisent pas GRUB2.

« Presque toutes les versions signées de GRUB2 sont vulnérables, ce qui signifie que pratiquement chaque distribution Linux est affectée. De plus, GRUB2 prend en charge d’autres systèmes d’exploitation, noyaux et hyperviseurs tels que Xen. Le problème s’étend également à tout appareil Windows utilisant Secure Boot avec l’autorité de certification UEFI tierce standard de Microsoft », a expliqué Eclypsium dans son rapport.

En conséquence, la majorité des ordinateurs portables, des ordinateurs de bureau, des serveurs et des stations de travail, ainsi que des appareils réseau et d’autres équipements à usage spécial utilisés dans les secteurs industriel, de la santé, financier et d’autres industries sont affectés, a ajouté l’entreprise. Les attaquants peuvent exploiter cette vulnérabilité pour installer des bootkits persistants et furtifs ou des chargeurs de démarrage malveillants qui pourraient leur donner un « contrôle presque total » sur l’appareil de la victime.

Selon les chercheurs, la vulnérabilité réelle BootHole se trouve à l’intérieur du fichier de configuration GRUB2 (grub.cfg), un fichier externe couramment situé dans la partition système EFI. Cette vulnérabilité permet l’exécution de code arbitraire au sein de GRUB2 et donc le contrôle sur le démarrage du système d’exploitation. Cela permettrait à un attaquant de modifier le contenu du fichier de configuration GRUB2 pour s’assurer que le code d’attaque est exécuté avant que l’OS ne soit chargé. De cette manière, les attaquants obtiennent une persistance sur l’appareil.

Les chercheurs d’Eclypsium ont noté qu’exploiter ce type de vulnérabilité nécessiterait des privilèges élevés sur l’appareil ciblé. Cependant, cela fournirait à l’attaquant une puissante escalade de privilèges et de persistance sur l’appareil, même avec Secure Boot activé et vérifiant correctement la signature de tous les exécutables chargés.

Toutes les versions de GRUB2 qui chargent des commandes à partir d’un fichier de configuration grub.cfg externe sont vulnérables. Suite à la découverte de la vulnérabilité BootHole, Eclypsium a coordonné la divulgation responsable avec diverses entités de l’industrie, y compris des fournisseurs de systèmes d’exploitation, des fabricants d’ordinateurs et des CERT.

« L’atténuation nécessitera que de nouveaux chargeurs de démarrage soient signés et déployés, et les chargeurs de démarrage vulnérables devraient être révoqués pour empêcher les adversaires d’utiliser des versions plus anciennes et vulnérables dans une attaque. Cela sera probablement un long processus et prendra un temps considérable pour que les organisations terminent le patching », a noté Eclypsium.

Joe McManus, directeur de l’ingénierie de la sécurité chez Canonical, a déclaré : « Grâce à Eclypsium, nous chez Canonical, ainsi que le reste de la communauté open source, avons mis à jour GRUB2 pour défendre contre cette vulnérabilité. Au cours de ce processus, nous avons identifié sept vulnérabilités supplémentaires dans GRUB2, qui seront également corrigées dans les mises à jour publiées aujourd’hui. L’attaque elle-même n’est pas une exploitation à distance et nécessite que l’attaquant ait des privilèges root. Cela dit, nous ne voyons pas cela comme une vulnérabilité populaire utilisée dans la nature. Cependant, cet effort illustre vraiment l’esprit de communauté qui rend les logiciels open source si sécurisés. »

D’autre part, Marcus Meissner, le responsable de l’équipe de sécurité de SUSE, a souligné que bien que le problème soit sérieux et nécessite un patch, il n’est cependant pas si grave.

« Étant donné le besoin d’accès root au chargeur de démarrage, l’attaque décrite semble avoir une pertinence limitée pour la plupart des scénarios de cloud computing, de centre de données et d’appareils personnels, à moins que ces systèmes ne soient déjà compromis par une autre attaque connue. Cependant, cela crée une exposition lorsque des utilisateurs non fiables peuvent accéder à une machine, par exemple des acteurs malveillants dans des scénarios de calcul classifiés ou des ordinateurs dans des espaces publics fonctionnant en mode kiosque non surveillé », a noté Meissner.