Vulnerabilidad crítica en GRUB2 afecta a millones de equipos Linux y Windows

Un equipo de investigadores de ciberseguridad ha revelado detalles de una nueva vulnerabilidad de alto riesgo que afecta a miles de millones de dispositivos en todo el mundo, incluidos servidores y estaciones de trabajo, computadoras portátiles, computadoras de escritorio y sistemas IoT que ejecuten casi cualquier distribución de Linux o sistema Windows.

Apodado «BootHole» y etiquetado como CVE-2020-10713 , la vulnerabilidad reportada reside en el gestor de arranque GRUB2, que, si se explota, podría permitir a los atacantes eludir la función de arranque seguro y obtener acceso persistente y sigiloso de alto privilegio a los sistemas de destino.

El Secure Boot es una característica de seguridad de la Interfaz de firmware extensible unificada (UEFI), que utiliza un cargador de arranque para cargar componentes críticos, periféricos y el sistema operativo al tiempo que garantiza que solo se ejecute un código firmado criptográficamente durante el proceso de arranque.

Uno de los objetivos de este «arranque seguro» es evitar que el código no autorizado, incluso ejecutado con privilegios de administrador, obtenga privilegios adicionales y persistencia previa a la ejecución del sistema deshabilitando Secure Boot o modificando la cadena de arranque. Es precisamente donde reside el problema con GRUB2.

Descubierto por investigadores de Eclypsium, BootHole es una vulnerabilidad de desbordamiento de búfer que afecta a todas las versiones de GRUB2 y existe en la forma en que analiza el contenido del archivo de configuración, que generalmente no está firmado como otros archivos y ejecutables, lo que brinda a los atacantes la oportunidad de romper el mecanismo de confianza. «El desbordamiento del búfer permite al atacante obtener una ejecución de código arbitrario dentro del entorno de ejecución UEFI, que podría usarse para ejecutar malware, alterar el proceso de arranque, parchear directamente el núcleo del sistema operativo o ejecutar cualquier otra cantidad de acciones maliciosas», explicaron los investigadores.

Vulnerabilidad GRUB2, grave, pero controlable

Conviene tener en cuenta que el archivo grub.cfg se encuentra en la partición del sistema EFI y, por lo tanto, para modificar el archivo, un atacante necesitaría acceder al sistema de destino con privilegios de administrador. Es decir, para explotar BootHole es imprescindible acceso de escritura a los archivos del sistema, en concreto al archivo de configuración del GRUB.

Además, los investigadores de Eclypsium reportaron previamente el problema y las principales compañías detrás de las distribuciones Linux que lo usan ya están desarrollando un parche o lo han publicado. Por ello y por la necesidad de acceso previo han limitado su potencial extensión: «Dada la necesidad de acceso a la raíz del gestor de arranque, el ataque descrito parece tener una relevancia limitada para la mayoría de los escenarios de computación en la nube, centro de datos y dispositivos personales, a menos que estos sistemas ya estén comprometidos por otro ataque conocido», han aclarado desde SUSE.

Hay que citar que el problema también puede extenderse a cualquier dispositivo de Windows que use el Arranque seguro con la Autoridad de certificación UEFI de terceros de Microsoft. Para explotar BootHole en sistemas Windows, los atacantes pueden reemplazar los cargadores de arranque predeterminados instalados con una versión vulnerable de GRUB2 para instalar el malware rootkit.

Microsoft reconoció el problema e informó que «está trabajando para completar la validación y las pruebas de compatibilidad de una actualización de Windows requerida que aborde esta vulnerabilidad». También recomendó a los usuarios aplicar los parches de seguridad tan pronto como se implementen en las próximas semanas.

Además de Microsoft, muchas distribuciones populares de Linux también han publicado avisos relacionados que explican la vulnerabilidad, las posibles mitigaciones y la línea de tiempo para los próximos parches de seguridad:

• Red Hat (Fedora y RHEL)
• Canonical (Ubuntu)
• SuSE (SLES y OpenSUSE)
• Debian
• VMware
• Microsoft
• HP