Bajo el acertado a la par que simple cual botijo nombre de ‘BootHole‘ se ha dado a conocer una vulnerabilidad crítica que afecta al cargador de arranque más popular de Linux, GRUB (GRUB2), y por la que un atacante podría comprometer además e cualquier sistema Linux, cualquier Windows que estuviese instalado en el mismo equipo o servidor.
En otras palabras, BootHole es como su propio nombre indica un ‘agujero en el arranque’ del sistema, que en casi cualquier equipo o servidor con alguna distribución Linux instalada, está gestionado por el GRUB, incluyendo el arranque con soporte de Secure Boot. Una vulnerabilidad de seguridad muy grave sobre la que ya se está advirtiendo que afecta potencialmente a millones de máquinas.
Como suele pasar en este tipo de casos, sin embargo, se pinta a la bestia más fiera de lo que es. Por varios motivos.
En esencia, BootHole permite la ejecución de código malicioso en el GRUB, propiciando así una escalada de privilegios hasta hacerse con el control del sistema. Pero:
- BootHole fue descubierto por la firma de seguridad Eclypsium, que una vez confirmó el hallazgo, lo reportó a los responsables del mantenimiento de GRUB.
- Al tiempo que BootHole se ha hecho noticia, las principales distribuciones Linux han lanzado los parches que corrigen la vulnerabilidad.
- Y más importante aún: para explotar BootHole es imprescindible acceso de escritura a los archivos del sistema, en concreto al archivo de configuración del GRUB.
Es decir, se desconoce cuánto tiempo llevaba presente esta vulnerabilidad en el GRUB, por lo que se desconoce si ha sido explotada o no, aunque no parece plausible cuando la han encontrado en una revisión dedicada. Y lo más importante, cabe repetir: con acceso de escritura, esta vulnerabilidad del GRUB es solo una golosina más para cualquier atacante.
Así, la reacción de las principales compañías de Linux, Canonical, Red Hat o SUSE, ha sido la de investigar el problema y solucionarlo, de manera que cualquiera de estas distribuciones (Ubuntu, RHEL, SLE), derivadas y no derivadas (Debian, por ejemplo) ya han recibido el parche que corrige la vulnerabilidad o estarían a punto de hacerlo. Pero también le han quitado hierro al asunto, debido precisamente a las condiciones que deben darse para explotar con éxito BootHole.
Según explica Marcus Meissner, líder del equipo de seguridad de SUSE. «Dada la necesidad de acceso a la raíz del gestor de arranque, el ataque descrito parece tener una relevancia limitada para la mayoría de los escenarios de computación en la nube, centro de datos y dispositivos personales, a menos que estos sistemas ya estén comprometidos por otro ataque conocido. Sin embargo, crea una exposición cuando los usuarios no confiables pueden acceder a una máquina, por ejemplo, malos actores en escenarios informáticos clasificados o computadoras en espacios públicos que operan en modo de quiosco desatendido».
Y como no hay mal que por bien no venga, desarrolladores de Canonical en colaboración con otros mantenedores del GRUB han aprovechado la vez para indagar en el código en busca de posibles problemas y han llegado a encontrar otros siete adicionales, todos ellos ya corregidos con las actualizaciones que se han lanzado.
En resumen, este BootHole es un agujero de seguridad relativamente grave del que quizás hayas leído o leas por ahí, pero del que no deberías preocuparte si mantienes tu sistema convenientemente actualizado. Para más datos acerca del problema, el informe de Eclypsium (PDF) donde, ojo, se menciona que «la vulnerabilidad afecta a los sistemas que utilizan el arranque seguro, incluso si no están utilizando GRUB2», a pesar de que esto no lo explican con profundidad y tampoco es de nuestro particular interés.
