Vulnerabilidade ‘BootHole’ Coloca Bilhões De Sistemas Windows e Linux Em Risco

Pesquisadores de uma empresa de pesquisa em segurança, a Eclypsium, descobriram uma vulnerabilidade séria no carregador de inicialização GRUB2 que pode ser explorada por atacantes para inserir e executar código malicioso durante o processo de inicialização.

A vulnerabilidade rastreada como CVE-2020-10713 e chamada de “BootHole”, é uma vulnerabilidade de estouro de buffer no GRUB2 (Grand Unified Bootloader), um software que carrega um Sistema Operacional (SO) na memória quando um sistema é iniciado.

Essa falha compromete todos os sistemas operacionais (SO) que usam GRUB2 com Secure Boot, um componente projetado para proteger o processo de inicialização contra ataques, mesmo que esteja ativo. Além disso, a vulnerabilidade afeta sistemas que utilizam Secure Boot, mesmo que não estejam usando GRUB2.

“Quase todas as versões assinadas do GRUB2 são vulneráveis, o que significa que virtualmente toda distribuição Linux é afetada. Além disso, o GRUB2 suporta outros sistemas operacionais, kernels e hipervisores como o Xen. O problema também se estende a qualquer dispositivo Windows que use Secure Boot com a Autoridade de Certificação UEFI de Terceiros padrão da Microsoft”, explicou a Eclypsium em seu relatório.

Como resultado, a maioria de laptops, desktops, servidores e estações de trabalho, bem como dispositivos de rede e outros equipamentos de uso especial utilizados em indústrias, saúde, finanças e outras indústrias estão afetados, acrescentou a empresa. Os atacantes podem explorar essa vulnerabilidade para instalar bootkits persistentes e furtivos ou carregadores de inicialização maliciosos que poderiam lhes dar “quase controle total” sobre o dispositivo da vítima.

De acordo com os pesquisadores, a vulnerabilidade real do BootHole está localizada dentro do arquivo de configuração do GRUB2 (grub.cfg), um arquivo externo comumente localizado na Partição do Sistema EFI. Essa vulnerabilidade permite a execução de código arbitrário dentro do GRUB2 e, assim, controle sobre a inicialização do sistema operacional. Isso permitiria que um atacante modificasse o conteúdo do arquivo de configuração do GRUB2 para garantir que o código de ataque seja executado antes que o SO seja carregado. Dessa forma, os atacantes ganham persistência no dispositivo.

Os pesquisadores da Eclypsium observaram que explorar esse tipo de vulnerabilidade exigiria privilégios elevados no dispositivo alvo. No entanto, isso proporcionaria ao atacante uma poderosa escalada adicional de privilégios e persistência no dispositivo, mesmo com o Secure Boot ativado e realizando corretamente a verificação de assinatura em todos os executáveis carregados.

Todas as versões do GRUB2 que carregam comandos de um arquivo de configuração grub.cfg externo são vulneráveis. Após a descoberta da vulnerabilidade BootHole, a Eclypsium coordenou a divulgação responsável com uma variedade de entidades da indústria, incluindo fornecedores de SO, fabricantes de computadores e CERTs.

“A mitigação exigirá que novos carregadores de inicialização sejam assinados e implantados, e os carregadores de inicialização vulneráveis devem ser revogados para impedir que adversários usem versões mais antigas e vulneráveis em um ataque. Isso provavelmente será um processo longo e levará um tempo considerável para as organizações completarem a correção”, observou a Eclypsium.

Joe McManus, diretor de engenharia de segurança da Canonical, disse: “Graças à Eclypsium, nós da Canonical, junto com o restante da comunidade de código aberto, atualizamos o GRUB2 para defender contra essa vulnerabilidade. Durante esse processo, identificamos sete vulnerabilidades adicionais no GRUB2, que também serão corrigidas nas atualizações lançadas hoje. O ataque em si não é um exploit remoto e requer que o atacante tenha privilégios de root. Com isso em mente, não vemos isso como uma vulnerabilidade popular usada no mundo real. No entanto, esse esforço realmente exemplifica o espírito de comunidade que torna o software de código aberto tão seguro.”

Por outro lado, Marcus Meissner, líder da equipe de segurança da SUSE, apontou que, embora o problema fosse sério e precisasse de correção, não era tão ruim assim.

“Dada a necessidade de acesso root ao carregador de inicialização, o ataque descrito parece ter relevância limitada para a maioria dos cenários de computação em nuvem, data centers e dispositivos pessoais, a menos que esses sistemas já estejam comprometidos por outro ataque conhecido. No entanto, isso cria uma exposição quando usuários não confiáveis podem acessar uma máquina, por exemplo, atores mal-intencionados em cenários de computação classificados ou computadores em espaços públicos operando em modo quiosque não supervisionado”, observou Meissner.