2022-1274: GNU GRUB 2, Shim: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2022-06-08 18:16)

Neues Advisory

Version 2 (2022-06-13 10:01)

Für SUSE Linux Enterprise Desktop, SUSE Linux Enterprise High Performance Computing, SUSE Linux Enterprise Module for Basesystem, SUSE Linux Enterprise Module for Server Applications und SUSE Linux Enterprise Server jeweils in Version 15 SP4 sowie SUSE Linux Enterprise Module for SUSE Manager Proxy 4.3, SUSE Manager Proxy 4.3 und openSUSE Leap 15.4 stehen Sicherheitsupdates für 'grub2' bereit, um die Schwachstellen und weitere, nicht sicherheitsrelevante Fehler zu beheben. Die Schwachstelle CVE-2022-28737 in 'shim' wird nicht referenziert.

Version 3 (2022-06-17 11:22)

Für Red Hat Enterprise Linux 8, 8.2 und 8.4 Extended Update Support sowie Red Hat Enterprise Linux 9 stehen Sicherheitsupdates für 'grub2', 'mokutil', 'shim' und 'shim-unsigned-x64' bereit, mit denen die Schwachstellen adressiert werden.

Version 4 (2022-07-04 12:21)

Für Oracle Linux 9 (aarch64, x86_64) stehen korrespondierende Sicherheitsupdates für 'grub2' bereit, um die Schwachstellen zu beheben.

Version 5 (2022-07-05 09:17)

Für Oracle Linux 8 (aarch64, x86_64) stehen Aktualisierungen von 'grub2', 'mokutil', 'shim' und 'shim-unsigned-x64' als Sicherheitsupdates bereit, mit denen die Schwachstellen adressiert werden.

Version 6 (2022-07-15 09:54)

Für Oracle Linux 8 (aarch64, x86_64) stehen weitere Aktualisierungen von 'grub2' als Sicherheitsupdates zur Verfügung.

Version 7 (2022-07-19 15:09)

Für Oracle Linux 9 (aarch64, x86_64) stehen erneut Sicherheitsupdates für 'grub2' zur Verfügung.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Ein Angreifer kann mehrere Schwachstellen lokal ausnutzen, um Daten zu manipulieren, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann Einfluss auf andere Komponenten haben.

Das GNU GRUB-Projekt stellt in einer Reihe von Quellcode-Patches Sicherheitsupdates zur Verfügung, um die Schwachstellen zu beheben.

Für Fedora 35 und 36 stehen Sicherheitsupdates in Form der Pakete 'grub2-2.06-11.fc35' und 'grub2-2.06-42.fc36' im Status 'testing' bereit, um die Schwachstellen zu beheben.

Für Oracle Linux 7 (x86_64) und Oracle Linux 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'grub2' zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2021-3695

Schwachstelle in GNU GRUB 2 ermöglicht Manipulation von Daten

CVE-2021-3696

Schwachstelle in GNU GRUB 2 ermöglicht Manipulation von Daten

CVE-2021-3697

Schwachstelle in GNU GRUB 2 ermöglicht Manipulation von Daten

CVE-2022-28733

Schwachstelle in GNU GRUB 2 ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-28734

Schwachstelle in GNU GRUB 2 ermöglicht u. a. Denial-of-Service-Angriff

CVE-2022-28735

Schwachstelle in GNU GRUB 2 ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-28736

Schwachstelle in GNU GRUB 2 ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-28737

Schwachstelle in Shim ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.