CVE-2020-15707
Açıklama
Debian, Red Hat ve Ubuntu ile birlikte gelen GRUB2'nin efilinux bileşenindeki grub_cmd_initrd ve grub_initrd_init fonksiyonlarında, yığın tabanlı bir arabellek taşmasına yol açan tamsayı taşmaları keşfedilmiştir (bu işlevsellik GRUB2 ana sürümünde yer almamaktadır). Bunlar, 32 bit mimarilerde initrd komutuna gönderilen aşırı sayıda argümanla veya herhangi bir mimaride çok büyük dosyalar içeren özel olarak hazırlanmış bir dosya sistemiyle tetiklenebilir. Bir saldırgan bunu, rastgele kod çalıştırmak ve UEFI Secure Boot kısıtlamalarını atlatmak için kullanabilir. Bu sorun, GRUB2 versiyon 2.04 ve önceki versiyonları etkilemektedir.
Nasıl düzeltilir
- wiki.ubuntu.com/SecurityTeam/KnowledgeBase/GRUB2SecureBootBypass
- debian.org/security/2020-GRUB-UEFI-SecureBoot
- access.redhat.com/security/vulnerabilities/grub2bootloader
- suse.com/c/suse-addresses-grub2-secure-boot-issue/
- suse.com/support/kb/doc/?id=000019673
- debian.org/security/2020/dsa-4735
- usn.ubuntu.com/4432-1/
- security.gentoo.org/glsa/202104-05
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gnu grub2 | v ≤ 2.04 | — |
| redhat enterprise_linux_atomic_host | Aralık belirtilmemiş | — |
| redhat openshift_container_platform | 4.0 | — |
| redhat enterprise_linux | 7.0, 8.0 | — |
| microsoft windows_10 | Aralık belirtilmemiş, 1607, 1709, 1803, 1809, 1903, 1909, 2004 | — |
| microsoft windows_8.1 | Aralık belirtilmemiş | — |
| microsoft windows_rt_8.1 | Aralık belirtilmemiş | — |
| microsoft windows_server_2012 | Aralık belirtilmemiş, r2 | — |
| microsoft windows_server_2016 | Aralık belirtilmemiş, 1903, 1909, 2004 | — |
| microsoft windows_server_2019 | Aralık belirtilmemiş | — |
| canonical ubuntu_linux | 14.04, 16.04, 18.04, 20.04 | — |
| debian debian_linux | 10.0 | — |
| opensuse leap | 15.1, 15.2 | — |
| suse suse_linux_enterprise_server | 11, 12, 15 | — |
| netapp active_iq_unified_manager | 9.5 ≤ v | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.