CVE-2026-8863

CVE-2026-8863

Подборка подписанных бинарных файлов shim для UEFI Secure Boot, затронутых CVE-2026-8863, с указанием встроенной версии shim, подписанта Authenticode и хешей отзыва для каждого образа.

Релизы, в которых поставляется побайтно идентичный подписанный shim, объединены в одну строку — один хеш Authenticode соответствует одной записи dbx, независимо от того, сколько релизов его содержат.

Подробнее в моём блоге.

Обзор

Distribution	Releases	shim	Embedded vendor CA
CentOS	7.2, 7.3	0.9	Red Hat Inc.
Fedora	Server 24-1.2, 25-1.3, 26-1.5, SoaS 22.3, SoaS 23.10	0.8	Fedora Secure Boot CA
openSUSE	Leap 42.1	0.9	openSUSE Secure Boot CA
Rockstor Linux	3.8-12 / 3.8-9.02, 3.9.0 / 3.9.1	0.7, 0.9	Red Hat Inc.
ROSA Linux	R7, R8 / R9	0.9	NTC IT ROSA LLC
Scientific Linux (SL)	7.2, 7.3	0.9	Red Hat Secure Boot (CA key 1)

14 образов shim из 6 дистрибутивов сводятся к 6 уникальным хешам Authenticode; все они — pre-SBAT (0.7, 0.8, 0.9) без секции .sbat, поэтому их можно вывести из обращения только через отзыв хеша в dbx.

---

CentOS

Релизы	shim	Встроенный ЦС вендора	Подписант	Издающий ЦС	Authenticode SHA256	Authenticode SHA1
7.2, 7.3	0.9	Red Hat Inc.	Microsoft Windows UEFI Driver Publisher	Microsoft Corporation UEFI CA 2011	eb86fa1386fe6e4533b8b938dcc1250616d2f1c14c15e2fcf80834a161018a0a	25469dfdfa56e50fdf4e208fcfac7c8757341019

Fedora

Релизы	shim	Встроенный ЦС вендора	Подписант	Издающий ЦС	Authenticode SHA256	Authenticode SHA1
Server 24-1.2, 25-1.3, 26-1.5, SoaS 22.3, SoaS 23.10	0.8	Fedora Secure Boot CA	Microsoft Windows UEFI Driver Publisher	Microsoft Corporation UEFI CA 2011	dbaf9e056d3d5b38b68553304abc88827ebc00f80cb9c7e197cdbc5822cd316c	a070bfbb64dc542d7b6b22de52d9b4d994b0d2f1

openSUSE

Релизы	shim	Встроенный ЦС вендора	Подписант	Издающий ЦС	Authenticode SHA256	Authenticode SHA1
Leap 42.1	0.9	openSUSE Secure Boot CA	Microsoft Windows UEFI Driver Publisher openSUSE Secure Boot Signkey	Microsoft Corporation UEFI CA 2011 openSUSE Secure Boot CA	410260b1b6f5af5fbeeb9ea3220658435e876cb3247126ee907a437f312db373	c86eeef7791b534ddfef6b79818187dee6919271

Rockstor Linux

Релизы	shim	Встроенный ЦС вендора	Подписант	Издающий ЦС	Authenticode SHA256	Authenticode SHA1
3.8-12 / 3.8-9.02	0.7	Red Hat Inc.	Microsoft Windows UEFI Driver Publisher Red Hat Inc.	Microsoft Corporation UEFI CA 2011 DigiCert EV Code Signing CA (SHA2)	6dbbead23e8c860cf8b47f74fbfca5204de3e28b881313bb1d1eccdc4747934e	3aab12bb9c4b6fc88d1de18f24e45dccd409fc92
3.9.0 / 3.9.1	0.9	Red Hat Inc.	Microsoft Windows UEFI Driver Publisher	Microsoft Corporation UEFI CA 2011	eb86fa1386fe6e4533b8b938dcc1250616d2f1c14c15e2fcf80834a161018a0a	25469dfdfa56e50fdf4e208fcfac7c8757341019

Shim из 3.9.0 / 3.9.1 побайтно идентичен shim из CentOS 7.2/7.3 выше, поэтому оба используют один и тот же хеш Authenticode eb86fa13….

ROSA Linux

Релизы	shim	Встроенный ЦС вендора	Подписант	Издающий ЦС	Authenticode SHA256	Authenticode SHA1
R7, R8 / R9	0.9	NTC IT ROSA LLC	Microsoft Windows UEFI Driver Publisher	Microsoft Corporation UEFI CA 2011	236a9cb0d71951c36398a32eb660ce2cd4a52ccfa7cf751cc6a35d9de549e19b	2c5f622319caa15a51fa355459b690174bbb439d

Scientific Linux (SL)

Релизы	shim	Встроенный ЦС вендора	Подписант	Издающий ЦС	Authenticode SHA256	Authenticode SHA1
7.2, 7.3	0.9	Red Hat Secure Boot (CA key 1)	Microsoft Windows UEFI Driver Publisher	Microsoft Corporation UEFI CA 2011	7b2a3f5c96f95bd8086ce54b0825e300f9c8f11fe3401bb631b3215c8de9eb10	9c95950a60d19a64610dc042334503f8dcaebcc4