1.媒体来源:ithome 2.记者署名陈晓莉 3.完整新闻标题:Grub2含有BootHole安全漏洞，PC、服务器、工作站或IoT装置都遭殃
4.完整新闻内文:专研装置与韧体安全的Eclypsium，于周三（7/29）揭露了一藏匿在启动程式Grub2的安全漏洞，并以BootHole弱点称之，将允许骇客绕过安全启动（Secure Boot）保护机制，于作业系统之前植入任意程式，宣称从个人电脑、服务器、工作站到IoT装置都无一幸免。
Grub2为一来自GNU专案的启动程式，可用来启动任何硬件上的作业系统，它允许使用者在同一装置上安装多个作业系统，并在启动时选择所要执行的作业系统，而绝大多数的Linux版本都采用了Grub2。
根据Linux安全业者Capsule8的解释，一个支援Secure Boot的装置启动程序如下：韧体会先加载含有可靠凭证的初始启动程式（shim）；由shim加载Grub2并进行验证；Grub2再装载grub.cfg所描述的任何配置，包括核心加载位置；透过韧体签章数据库验证核心；再把控制权交给核心；最后由核心启动作业系统。上述的shim指的是含有业者凭证，及可用来验证与执行Grub2的小型程式。
安全研究人员所发现的CVE-2020-10713漏洞，即出现在第三个步骤。因为Grub2是利用文字解析器来读取grub.cfg配置档案，一般而言，当一个配置档的文字太多时，就会退出，但Grub2却直接把它移到缓冲内存去执行，造成缓冲区溢位，而允许骇客在系统内存中写入任何程式。
另一方面，Secure Boot原本是用来确保在进入作业系统之前，装置韧体所执行的任何程式码，都是可靠且经过验证的，但grub.cfg是个文字档案，因此不需检验，而让骇客得以在作业系统启动之前便植入恶意程式，长期进驻在装置上。
首当其冲的除了Linux平台之外，任何采用Secure Boot及UEFI CA的Windows装置也都会受到波及，因此从个人电脑、服务器、工作站到IoT装置都难逃一劫。
Capsule8警告，CVE-2020-10713非常适合用来植入勒索软件、键盘侧录程式、挖矿工具或进行间谍行为，因为这些恶意程式码都能在加载作业系统之前就开始运作，还能闪避安装在作业系统之上的安全程式。
值得注意的是，修补CVE-2020-10713漏洞将是个庞大的工程，最基本的是要修补Grub2，继之是各大Linux版本，以及相关的开源专案，同时业者也得更新启动程式与安装程式，微软亦必须重新签署新的shim。
不过，开采该漏洞必须以管理权限存取EFI系统分区，代表骇客必须先能渗透系统及扩张权限。
在Eclypsium揭露CVE-2020-10713漏洞的同一天，微软、UEFI论坛、Debian、Canonical、红帽、SUSE、HP、HPE、VMware与Grub2专案，也都同步发表了安全公告。
5.完整新闻连结 (或短网址):https://www.ithome.com.tw/news/139133 6.备注: