CVE-2026-32606

IncusOS, Incus çalıştırmak için tasarlanmış değiştirilemez bir işletim sistemi görüntüsüdür. 202603142010 sürümünden önce, IncusOS tarafından mkosi aracılığıyla kullanılan systemd-cryptenroll varsayılan yapılandırması, makineye fiziksel erişimi olan bir saldırganın; sistem sahibinin herhangi bir etkileşimine veya Secure Boot durumunun ya da çekirdek (UKI) önyükleme görüntüsünün kurcalanmasına gerek kalmadan şifrelenmiş verilere erişmesine izin verir. Bunun nedeni, bu yapılandırmada LUKS anahtarının, sistem beklenen PCR7 değerine sahip olduğu ve PCR11 politikası eşleştiği sürece TPM tarafından sağlanmasıdır. Bu varsayılan PCR11 politikası, kritik bir şekilde, TPM'nin anahtarı yalnızca imzalı çekirdek görüntüsünün (UKI) initrd kısmına değil, önyüklenen sisteme serbest bırakmasına izin verir. Saldırı, saldırganın orijinal şifreli kök bölümünü kendi kontrolündeki bir bölümle değiştirebilmesine dayanır. Bunu yaparak sistem, önyükleme sırasında saldırganın tanımladığı ve sağlayabileceği bir kurtarma anahtarı isteyecek ve ardından sistemi orijinal kök bölümü yerine saldırganın kök bölümünü kullanarak başlatacaktır. Saldırganın, sistemin önyükleme sırasında bu mantığı çalıştırmasını sağlamak için kendi kök bölümüne sistem önyüklemesinde başlayan bir systemd ünitesi yerleştirmesi yeterlidir. Bu ünite, TPM'nin gerçek kök diskin şifreleme anahtarının alınmasına izin verdiği bir ortamda çalışacak ve böylece saldırganın LUKS birim anahtarını (değiştirilemez ana anahtar) çalmasına, ardından bunu gerçek kök diske karşı kullanmasına, verileri dışarı çıkarmasına veya diski değiştirmesine, sonrasında ise diski eski haline getirerek saldırıya dair hiçbir iz bırakmadan sistemi geri vermesine olanak tanıyacaktır. Tüm bunlar mümkündür çünkü sistem hala Secure Boot etkin olarak önyüklenmiş olacak, beklenen önyükleyiciyi ve çekirdek görüntüsünü (UKI) ölçmüş ve çalıştırmış olacaktır. initrd, kök diski GPT bölüm tanımlayıcılarına göre seçer, bu da gerçek kök diskin kolayca saldırgan kontrollü bir diskle değiştirilmesini mümkün kılar. Bu durum TPM durumunda herhangi bir değişikliğe yol açmaz ve dolayısıyla saldırganın alternatif kök bölümündeki bir önyükleme zamanı systemd ünitesi aracılığıyla LUKS anahtarını almasına izin verir. IncusOS versiyon 202603142010 (2026/03/14 20:10 UTC), yeni PCR15 mantığını içerir ve önyükleme sırasında TPM politikasını otomatik olarak güncelleyecektir. Sistemlerinin kapalıyken fiziksel erişime maruz kaldığından şüphelenen herkes, tam bir sistem silme ve yeniden kurulum işlemi gerçekleştirmelidir; çünkü LUKS birim anahtarını döndürecek ve sistem daha önce ele geçirilmişse şifrelenmiş verilere sonraki erişimleri önleyecek tek yöntem budur. LUKS anahtarlarını otomatik olarak yeni TPM kayıtları kümesine yeniden bağlayacak ve bu zafiyetin istismar edilmesini önleyecek düzeltilmiş mantığa sahip bir sürüme güncellemek dışında bilinen bir geçici çözüm yoktur.