Aktuell | Linux | c't | heise magazine

Secure Boot: Neue Shim-Versionen nötig

Eine schwerwiegende Sicherheitslücke zwingt Linux-Distributionen, den für Secure Boot nötigen Shim in einer neuen Version signieren zu lassen – das dauert.

Shim, auf Deutsch „Unterlegscheibe“, ist laut Eigenbeschreibung eine „triviale EFI Applikation“, ersonnen einzig, um damit auf handelsüblichen Windows-Computern auch andere vertrauenswürdige Betriebssysteme mit Secure Boot zu starten. Ende Januar wurde öffentlich, dass im Shim eine aus der Ferne ausnutzbare Sicherheitslücke (CVE-2023-40547) klafft.

Die Sicherheitsfirma Eclypsium hat der Lücke den Namen „Shim Shady“ gegeben.

Bild: Eclypsium

Denn dieser dann doch nicht ganz so triviale Bootloader kann auch ISO-Abbilder mittels HTTP herunterladen und booten. Dabei vertraut er den HTTP-Antworten jedoch ungefiltert. Angreifer können durch manipulierte HTTP-Antworten außerhalb der eigentlichen allokierten Speicherbereiche schreiben (Out-of-bound write primitive) und so das ganze System kompromittieren. Dazu muss der Angreifer sich in die Kommunikation mit dem Bootserver einschleichen, etwa als Man-in-the-Middle, oder den Server selbst kontrollieren, wie die Sicherheitsfirma Eclypsium in einem Blogpost schreibt. Die Lücke wurde neben weiteren in Shim 15.8 gefixt. Doch bis diese Version als Update bei den Anwendern landet, kann es noch dauern, denn der Shim muss vorher signiert werden und da wird es kompliziert.