ニュース
ほぼすべてのLinuxのブートローダーに脆弱性
2020年7月30日 17:12
米セキュリティ企業のEclypsiumは7月29日(現地時間)、GRUB2ブートローダーに存在する脆弱性「BootHole」について報告した。
GRUB2は、多くのLinuxディストリビューションで利用されているブートローダー。そのため、BootHole(CVE-2020-10713ほか)の影響は広範囲におよび、セキュアブートを有効にしている場合でも悪用が可能だという。各ベンダーに事前に通達済みで、同日よりアドバイザリーやアップデートが順次提供される予定。
設定ファイルである「grub.cfg」をGRUB2が読み出すプロセスにおいて、バッファオーバーフローの脆弱性が存在する。grub.cfgはEFIシステムパーティション内部にあるテキストファイルで、管理者権限を得た攻撃者によってブートローダー本体の整合性を保ったまま変更できる。
バッファオーバーフローを悪用することで、攻撃者はUEFI実行環境内において任意のコードが実行可能。マルウェアの実行やブートプロセスの変更、永続的かつステルスなブートキットの導入などができるようになる。OSの読み込みより前に攻撃者によるコードを実行できてしまうため、実質的にデバイスを完全制御下に置けるかたちとなる。
緩和策としては、GRUB2自体の更新などが必要となるほか、セキュアブートではコンポーネントの検証プロセスにおいてMicrosoftによる電子署名が広く利用されているため、同社によるアップデートも提供される見込み。
ブートローダーはその特性上、更新時のトラブルによってデバイスが起動不可に陥る場合もあるため慎重に進める必要があるが、BootHoleは特権昇格の脆弱性を通じて悪用が可能な脆弱性であることから、EclypsiumではまずはOS自体のアップデートを適宜行なうことを推奨している。
楽天市場 売れ筋ランキング
Amazon売れ筋ランキング
Anker Soundcore P40i (Bluetooth 5.3) 【完全ワイヤレスイヤホン/ウルトラノイズキャンセリング 2.0 / マルチポイント接続 / 最大60時間再生 / PSE技術基準適合】ブラック
¥7,990
Anker Soundcore Life P2 Mini【完全ワイヤレスイヤホン / Bluetooth5.3対応 / IPX5防水規格 / 最大32時間音楽再生 / 専用アプリ対応】ブラック
¥4,490
イヤホン bluetooth ワイヤレスイヤホン 48時間の再生時間 重低音 LEDディスプレイ表示 小型/軽量 IPX7防水 ブルートゥース 接続瞬時 Hi-Fi ブルートゥースイヤホン Type-C 急速充電 ぶるーとぅーすイヤホン iPhone/Android/Pad適用 スポーツ/通勤/通学/WEB会議 (ホワイト)
¥39,999
Anker Soundcore Liberty 4(Bluetooth 5.3)【完全ワイヤレスイヤホン/ウルトラノイズキャンセリング 2.0 / 3Dオーディオ / ワイヤレス充電/マルチポイント接続/外音取り込み / 最大28時間再生 / ハイレゾ / IPX4防水規格 / ヘルスモニタリング/PSE技術基準適合】ミッドナイトブラック
¥14,990
Apple AirPods Pro 2 + 延長2年 AppleCare+ for Headphones - AirPods Pro
¥42,792
GBAD (Number_i Remix) [Explicit]
¥250
もうどうなってもいいや
¥250
もうどうなってもいいや
¥250
GBAD (Number_i Remix) [Explicit]
¥250
TWILIGHT!!!
¥250
by Amazon 天然水 ラベルレス 500ml ×24本 富士山の天然水 バナジウム含有 水 ミネラルウォーター ペットボトル 静岡県産 500ミリリットル (Smart Basic)
¥1,173
い・ろ・は・すラベルレス 2LPET ×8本 【Amazon.co.jp限定】
¥1,104
コカ・コーラ い・ろ・は・す天然水ラベルレス 560ml ×24本
¥2,131
by Amazon 炭酸水 ラベルレス 500ml ×24本 強炭酸水 ペットボトル 500ミリリットル (Smart Basic)
¥1,512
キリン 自然が磨いた天然水 ラベルレス 水 2リットル 9本 国産 天然水 ミネラルウォーター ペットボトル 軟水
¥2,722