Si chiama BootHole, ed è il nuovo pericolo che grava nel “cuore della macchina” (e nel bootloader GRUB2) teoricamente protetto da Secure Boot. Una tecnologia certo non perfetta, ma che nondimeno rappresenta un requisito di sicurezza standard per la sostanziale totalità dei PC in vendita – su Windows come su Linux.
Secure Boot dovrebbe garantire una “blindatura” invalicabile del processo di inizializzazione del sistema grazie all’uso delle firme digitali fornite ufficialmente da Microsoft. Ogni PC e scheda madre UEFI in commercio da anni supportano il boot “sicuro”, spesso in via esclusiva (nel caso dei sistemi OEM), con giusto qualche “concessione” al mondo open source per garantire la compatibilità degli OS Linux con il boot sicuro.
Stando a quanto scoperto dai ricercatori di Eclypsium, la vulnerabilità BootHole può appunto essere utilizzata per compromettere il processo di boot gestito tramite GRUB2. Inserendo una stringa di testo particolarmente lunga nel file di configurazione (non firmato) grub.cfg, un malintenzionato potrebbe far scattare un bug di buffer overflow e quindi compromettere (sempre in teoria) l’intero processo di avvio supervisionato da Secure Boot.
BootHole richiede la disponibilità dei privilegi di accesso da amministratore per modificare i file di configurazione della macchina bersaglio, quindi il suo exploit non può avvenire da remoto. Ciò nonostante il problema è della massima gravità, e coinvolge non solo i sistemi Linux ma anche l’ecosistema Windows (con Microsoft annessa).
Anche la soluzione al problema BootHole non è di quelle facili da implementare: ogni prodotto software o sistema operativo che usa GRUB2 dovrà essere aggiornato, ogni distro Linux modificata. Le vecchie versioni firmate di GRUB2 dovranno essere revocate, e la cosa non potrà che rendere un numero incalcolabile di PC non più avviabili (con Secure Boot abilitato nel firmware UEFI).