GRUB2: rilevata vulnerabilità zero-day, disponibile la patch

Alcuni developer indipendenti avrebbero rilevato una falla particolarmente grave all'interno del codice di GRUB2 (GNU GRand Unified Bootloader); tale vulnerabilità permetterebbe l'accesso non autorizzato al sistema da remoto e l'installazione di codice malevolo da parte di utenti malintenzionati. Nel giro di poche ore Canonical, Red Hat e il team di Debian hanno comunque rilasciato delle patch nei repository in grado di risolvere il problema.

La falla è stesa resa nota da Ismael Ripoll e Hector Marco (Grub2 Authentication 0-Day) e coinvolgerebbe tutte le distribuzioni che fanno uso di GRUB2, il bug infatti sarebbe presente nel codice upstream del progetto. I suoi effetti si verificherebbero quando GRUB2 viene configurato per chiedere una password con la quale accedere al sistema.

In sostanza i due sviluppatori avrebbero trovato il modo per aggirare questo controllo e avrebbero anche provveduto a rilasciare una patch risolutiva per tale bug.

Nello specifico, le versioni di GRUB2 afflitte da questo problema andrebbero dalla release 1.98 (rilasciata nel dicembre 2009) fino alle 2.02 (disponibile da dicembre 2015), quindi anche il fatto di utilizzare una versione datata di GRUB2 non metterebbe al riparo dal problema, il bug infatti sembrerebbe essere presente fin dalle prime fasi di sviluppo del boot loader.

I developer del progetto consigliano ora di tenere aggiornata la propria distribuzione per ricevere gli update disponibili il prima possibile.

Via Cybersecurity Group