CVE-2026-32606

सारांश

IncusOS एक अपरिवर्तनीय OS इमेज है जो Incus चलाने के लिए समर्पित है। 202603142010 से पहले, IncusOS द्वारा mkosi के माध्यम से उपयोग किए जाने वाले systemd-cryptenroll का डिफ़ॉल्ट कॉन्फ़िगरेशन, मशीन तक भौतिक पहुंच रखने वाले हमलावर को सिस्टम के मालिक की ओर से किसी भी इंटरैक्शन या Secure Boot स्थिति या कर्नेल (UKI) बूट इमेज के साथ किसी भी छेड़छाड़ के बिना एन्क्रिप्टेड डेटा तक पहुंचने की अनुमति देता है। ऐसा इसलिए है क्योंकि इस कॉन्फ़िगरेशन में, LUKS कुंजी TPM द्वारा उपलब्ध कराई जाती है जब तक सिस्टम में अपेक्षित PCR7 मान हो और PCR11 नीति मेल खाती हो। यह डिफ़ॉल्ट PCR11 नीति महत्वपूर्ण रूप से TPM को हस्ताक्षरित कर्नेल इमेज (UKI) के initrd भाग से नहीं, बल्कि बूट किए गए सिस्टम को कुंजी जारी करने की अनुमति देती है। यह हमला इस तथ्य पर निर्भर करता है कि हमलावर मूल एन्क्रिप्टेड रूट पार्टीशन को अपने नियंत्रण वाले पार्टीशन से बदल सकता है। ऐसा करने से, सिस्टम बूट पर एक रिकवरी कुंजी के लिए संकेत देगा, जिसे हमलावर ने परिभाषित किया है और प्रदान कर सकता है, इससे पहले कि सिस्टम मूल रूट पार्टीशन के बजाय हमलावर के रूट पार्टीशन का उपयोग करके बूट हो। हमलावर को केवल अपने रूट पार्टीशन के भीतर एक systemd यूनिट रखने की आवश्यकता है जो सिस्टम बूट पर शुरू हो, ताकि सिस्टम बूट पर उस लॉजिक को चला सके। वह यूनिट तब ऐसे वातावरण में चलेगी जहां TPM वास्तविक रूट डिस्क की एन्क्रिप्शन कुंजी की पुनर्प्राप्ति की अनुमति देगा, जिससे हमलावर LUKS वॉल्यूम कुंजी (अपरिवर्तनीय मास्टर कुंजी) चुरा सकता है और फिर इसे वास्तविक रूट डिस्क के खिलाफ उपयोग कर सकता है, इसे बदल सकता है या डिस्क को वापस उसी स्थिति में रखने और सिस्टम को इस हमले का कोई निशान छोड़े बिना लौटाने से पहले डेटा निकाल सकता है। यह सब संभव है क्योंकि सिस्टम अभी भी Secure Boot सक्षम के साथ बूट हुआ होगा, और अपेक्षित बूटलोडर और कर्नेल इमेज (UKI) को मापा और चलाया होगा। initrd GPT पार्टीशन पहचानकर्ताओं के आधार पर रूट डिस्क का चयन करता है, जिससे वास्तविक रूट डिस्क को हमलावर-नियंत्रित डिस्क से आसानी से बदलना संभव हो जाता है। इससे TPM स्थिति में कोई बदलाव नहीं होता है और इसलिए हमलावर अपने वैकल्पिक रूट पार्टीशन पर बूट-टाइम systemd यूनिट के माध्यम से LUKS कुंजी की पुनर्प्राप्ति की अनुमति मिलती है। IncusOS संस्करण 202603142010 (2026/03/14 20:10 UTC) में नया PCR15 लॉजिक शामिल है और बूट पर TPM नीति को स्वचालित रूप से अपडेट करेगा। कोई भी व्यक्ति जिसे संदेह है कि उनके सिस्टम तक बंद होने के दौरान भौतिक रूप से पहुंचा गया हो, उसे पूर्ण सिस्टम वाइप और पुनर्स्थापना करनी चाहिए क्योंकि केवल यही LUKS वॉल्यूम कुंजी को घुमाएगा और यदि सिस्टम पहले से समझौता किया गया हो तो एन्क्रिप्टेड डेटा तक बाद की पहुंच को रोकेगा। सही लॉजिक वाले संस्करण में अपडेट करने के अलावा कोई ज्ञात वर्कअराउंड नहीं है, जो LUKS कुंजियों को TPM रजिस्टरों के नए सेट से स्वचालित रूप से पुनः बांध देगा और इसका शोषण होने से रोकेगा।