Il team di Vulnerabilità e Mitigazioni di Microsoft ha scoperto una falla nel programma di Shim, utilizzato nelle distribuzioni Linux che supportano il secure boot.
La vulnerabilità CVE-2023-40547 è stata comunicata per la prima volta dal mantenitore di Shim, Red Hat, il 23 gennaio, ma molte persone ne sono all’oscuro.
Secondo l’avviso, questa vulnerabilità consente l’esecuzione remota di codice perché “il supporto al boot di Shim ha valori fidati controllati dall’attaccante durante l’analisi della risposta HTTP.”
“Questa minaccia consente all’attaccante di creare una richiesta HTTP maliziosa appositamente progettata, portando a una scrittura completa controllata oltre i limiti, che a sua volta porta a una completa compromissione del sistema.”
Come spiegato da Eclypsium, questa falla può essere sfruttata in remoto in un attacco man-in-the-middle se l’attaccante riesce ad intercettare il traffico tra la vittima e il server HTTP che gestisce il boot di rete.
Un attaccante locale può manipolare l’ordine di boot per caricare una versione vulnerabile di Shim, mentre un attaccante nella stessa rete può “manipolare PXE per caricare in catena il bootloader Shim vulnerabile,” come evidenziato da Eclypsium.
Poiché l’attaccante ha il controllo del sistema prima di caricare il kernel, si ottiene l’accesso privilegiato e la “capacità di eludere eventuali controlli implementati dal kernel e dal sistema operativo.”
Anche se Shim è mantenuto da Red Hat, questo software viene utilizzato da ogni distribuzione Linux con supporto per il secure boot, tra cui Ubuntu, Debian, Rocky, AlmaLinux, OpenSuse e Oracle Linux.
La correzione è stata introdotta nella versione 15.8 di Shim su GitHub.
Domande Frequenti:
The source of the article is from the blog klikeri.rs