The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В загрузчике GRUB2 выявлена 21 уязвимость

21.02.2025 21:01

Опубликованы сведения о 21 уязвимости в загрузчике GRUB2, большинство из которых приводят к переполнению буфера и могут использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot. Проблемы пока устранены только в виде патча. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE, RHEL, Fedora. Для устранения проблем в GRUB2 недостаточно просто обновить пакет, требуется также сформировать новые внутренние цифровые подписи и обновлять инсталляторы, загрузчики, пакеты с ядром, fwupd-прошивки и shim-прослойку.

Выявленные уязвимости:

  • CVE-2024-45774: запись за границу буфера при разборе специально оформленных JPEG-изображений.
  • CVE-2024-45776, CVE-2024-45777: целочисленные переполнения при чтении специально оформленных mo-файлов, приводящие к записи за пределы буфера.
  • CVE-2024-45778, CVE-2024-45779: целочисленные переполнения при работе с повреждённой файловой системой BFS, приводящие к переполнению буфера.
  • CVE-2024-45780: целочисленное переполнение при обработке специально оформленных tar-архивов, приводящее к записи за пределы буфера.
  • CVE-2024-45781, CVE-2025-0677: переполнения буфера при работе с повреждённой файловой системой UFS.
  • CVE-2024-45782, CVE-2025-1125: переполнения буфера при монтировании специально оформленного раздела HFS.
  • CVE-2025-0622: обращение к памяти после её освобождения при манипуляциях с модулями, может привести к выполнению кода атакующего.
  • CVE-2025-0624: переполнение буфера при сетевой загрузке.
  • CVE-2025-0678: переполнения буфера при работе с повреждённой файловой системой Squash4.
  • CVE-2025-0684: переполнения буфера при манипуляциях с символическими ссылками в ФС Reiserfs.
  • CVE-2025-0685: переполнения буфера при манипуляциях с символическими ссылками в ФС JFS.
  • CVE-2025-0685: переполнения буфера при манипуляциях с символическими ссылками в ФС ROMFS.
  • CVE-2025-0689: переполнения буфера при работе со специально модифицированным разделом UDF.
  • CVE-2025-0690: переполнения буфера при получении специально оформленных данных с клавиатуры.
  • CVE-2025-1118: обход режима изоляции Lockdown и извлечение произвольного содержимого памяти через выполнение команды dump.
  • CVE-2024-45775: отсутствие проверки кода ошибки при выделении памяти при разборе переданных аргументов может привести к повреждению данных IVT (Interrupt Vector Table).
  • CVE-2024-45783: доступ по нулевому указателю при монтировании некорректной ФС HFS+.

В большинстве Linux-дистрибутивов для верифицированной загрузки в режиме UEFI Secure Boot используется небольшая прослойка shim, заверенная цифровой подписью Microsoft. Данная прослойка верифицирует GRUB2 собственным сертификатом, что позволяет разработчикам дистрибутивов не заверять каждое обновление ядра и GRUB в Microsoft. Уязвимости в GRUB2 позволяют добиться выполнения своего кода на этапе после успешной верификации shim, но до загрузки операционной системы, вклинившись в цепочку доверия при активном режиме Secure Boot и получив полный контроль за дальнейшим процессом загрузки, например, для загрузки другой ОС, модификации компонентов операционной системы и обхода защиты Lockdown.

Для блокирования уязвимости без отзыва цифровой подписи дистрибутивы могут использовать механизм SBAT (UEFI Secure Boot Advanced Targeting), поддержка которого реализована для GRUB2, shim и fwupd в большинстве популярных дистрибутивов Linux. SBAT разработан совместно с Microsoft и подразумевает добавление в исполняемые файлы компонентов UEFI дополнительных метаданных, которые включают информацию о производителе, продукте, компоненте и версии. Указанные метаданные заверяются цифровой подписью и могут отдельно включаться в списки разрешённых или запрещённых компонентов для UEFI Secure Boot.

SBAT позволяет блокировать использование цифровой подписи для отдельных номеров версий компонентов без необходимости отзыва ключей для Secure Boot. Блокирование уязвимостей через SBAT не требует использования списка отозванных сертификатов UEFI (dbx), а производится на уровне замены внутреннего ключа для формирования подписей и обновления GRUB2, shim и других поставляемых дистрибутивами загрузочных артефактов. До внедрения SBAT, обновление списка отозванных сертификатов (dbx, UEFI Revocation List) было обязательным условием полного блокирования уязвимости, так как атакующий, независимо от используемой операционной системы, мог для компрометации UEFI Secure Boot использовать загрузочный носитель со старой уязвимой версией GRUB2, заверенной цифровой подписью.

Дополнение: Уязвимости были выявлены инженерами из Microsoft при помощи AI-анализатора.

  1. Главная ссылка к новости (https://www.openwall.com/lists...)
  2. OpenNews: Уязвимость в патчах Red Hat к загрузчику GRUB2, позволяющая обойти проверку пароля
  3. OpenNews: Релиз загрузочного менеджера GNU GRUB 2.12
  4. OpenNews: Уязвимость в NTFS-драйвере из состава GRUB2, позволяющая выполнить код и обойти UEFI Secure Boot
  5. OpenNews: Две уязвимости в GRUB2, позволяющие обойти защиту UEFI Secure Boot
  6. OpenNews: Разбор сути SBAT и проблем с обновлением к Windows, повлиявшим на загрузку Linux
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/62771-grub
Ключевые слова: grub, uefi, boot
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (203) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним Максим (?), 21:32, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +17 +/
    "Си безопасен"
     
     
  • 2.4, Анонимусс (-), 21:35, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +39 +/
    >  "Си безопасен"

    "Настоящий сишник никогда бы не допустил такую... такую 21 ошибку"

     
     
  • 3.27, User (??), 22:15, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Но делать ничего мы, НАСТОЯЩИЕ сишники конечно же не будем...
     
     
  • 4.39, Аноним (39), 23:00, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    настоящие сишники на зарплате сидят и работы своей у них море, не до открытых проектов.  а после всех DEI и COC и желания нет...
     
     
  • 5.77, Wizard160888 (?), 03:06, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ... и ваяют такую-же дичь
     
  • 5.124, Аноним (124), 12:58, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Да, как на зарплату садишься, сразу начинаешь писать без единой ошибки.
     
     
  • 6.178, Алконим (?), 19:00, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да, в нормальную контору глуеатеров не берут
     
  • 4.189, Аноним (-), 20:44, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    В загрузчике не так уж и много кода на самом деле
     
  • 3.63, Аноним (-), 01:33, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –3 +/
    > "Настоящий сишник никогда бы не допустил такую... такую 21 ошибку"

    Да там такие ошибки вида "если как следует постаратся - можно устроить побег из Шоушенка". А это точно - баг вообще? :)

     
  • 3.135, Аноним (135), 14:25, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да, просто grub2 писали формошлепы, а не настоящие сишники, иначе бы все было без ошибок
     
  • 2.80, qwe (??), 03:25, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +12 +/
    Смысла в этой фразе столько же, сколько в фразе "Rust безопасен".
     
     
  • 3.177, Аноним (-), 19:00, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Смысла в этой фразе столько же, сколько в фразе "Rust безопасен".

    Технически, вы правы. Язык Rust ничего не "знает" о безопасности, она - побочный эффект от использования RAII, аффинных типов и семантики владения/заимствования.

     
  • 3.219, Аноним (219), 09:53, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Абсолютно верно. Раст защищает от определенного класса ошибок определенными гарантиями. И всё. У Си нет гарантий вообще. Ни для чего.
     
     
  • 4.255, _ (??), 06:07, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Есть!
    Си гарантирует что ты сможешь сделать всё что захочешь.
    А раст такого не гарантирует.
     
     
  • 5.282, Аноним (282), 21:25, 25/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Расскажи, что раст не позволяет. Например?
     
  • 4.274, EULA (?), 05:36, 25/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Раст создает другой класс ошибок, которых в Си нет и не будет.
    Самая крутая ошибка - это нет полной прямой совместимости между кодом на различных версиях языка.
     
     
  • 5.283, Аноним (-), 23:06, 25/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Раст создает другой класс ошибок, которых в Си нет и не будет.

    Говорят, Си - полный по тьюрингу. Врут?

    > Самая крутая ошибка - это нет полной прямой совместимости между кодом на различных версиях языка.

    Последняя версия компилятора rust может собирать код на любой из редакций языка (15, 18, 21, 24).
    Крейт одной редакции может использовать крейт другой редакции (предыдущей или следующей, без разницы).
    Где здесь ошибка?

     
     
  • 6.289, EULA (?), 05:23, 17/03/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Врут?

    Врут.

    > Последняя версия компилятора rust может собирать код на любой из редакций языка (15, 18, 21, 24).

    А в одном коде это все нельзя совместить. То есть начал я писать код на 15-ой версии,продолжил на 18, закончил на 24-ой, а код не собирается 24-ой.

     
  • 2.87, Аноним (87), 08:21, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Самое безопасТное здесь это "небольшая прослойка shim, заверенная цифровой подписью Microsoft".
     
  • 2.253, Аноним (253), 01:19, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Как будто прокладка между клавиатурой и сиденьем тут не причем...
     
  • 2.268, жосефина (?), 14:39, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    это не си виноват, а рукожопые программисты.
     
  • 2.279, BeLord (ok), 14:41, 25/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Если руки кривые никто не поможет, а так можете рассказать как выйти за пределы буфера, если проверять размерность данных?-) Для загрузчика скорость не нужна, проверок можно мешок сделать.
     

  • 1.3, Анонимусс (-), 21:34, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    Хаха! Сишников решили просто добить на этой неделе!

    > запись за границу буфера
    > переполнения буфера
    > целочисленные переполнения
    > доступ по нулевому указателю
    > обращение к памяти после её освобождения

    Просто сишное бинго!
    Вот что бывает, если пишешь на дырявых языках из середины 70х!

     
     
  • 2.23, Аноним (23), 22:02, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +34 +/
    Ненаписанные проги на расте не глючат знаешь почему, да?
     
     
  • 3.38, Аноним (-), 22:59, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • –6 +/
    Потому что их писали профи, в отличии от?
    Тут недавно кидали ссылку - у гугла в раст коде в андроиде на 1.5 миллиона строк, ни одной ошибки по памяти.
     
     
  • 4.97, Аноним (97), 09:11, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +8 +/
    > Потому что их писали профи

    Это действительно надо быть профи, чтобы написать прогу которая останется не написаной.

     
     
  • 5.173, нах. (?), 18:22, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Конечно надо, большая часть хрустокода именно такова, вот, настоящие профи жеж.

     
  • 5.192, blkkid (?), 21:39, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    security.googleblog.com/2024/09/eliminating-memory-safety-vulnerabilities-Android.html

    я так понимаю, они ничего не писали?

    blog.cloudflare.com/pingora-open-source/

    эти тоже?

    discord.com/blog/why-discord-is-switching-from-go-to-rust

    этот маленькая чат-платформа на мане божьей написана?

     
     
  • 6.196, Аноним (196), 22:34, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Конечно, это все ниочем, пенка на гумне. А скиньте загрузчик на расте. Что, нет? А почему? Без ансейфа не получится написать, а с ансейфом не получится надувать щоки про безопасТность?
     
  • 6.202, нах. (?), 23:56, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > я так понимаю, они ничего не писали?

    Как ничего тоись? Вон, статью целую написали!

    И те тоже.

    Что они написали на самом деле - ты даже разобраться не сможешь.
    Какие-то невероятнейшей запутанности прокладки к прослойкам, хрен знает кому и зачем вообще сдавшиеся. Как мы без этого всего жили - хрен его знает! (А, ну вон - погуглите кому интересно "Android System Safety Core" и "Key verifyer". Не удивлюсь, кстати, если и на хрусте.)

    > этот маленькая чат-платформа на мане божьей написана?

    на игого она наляпана (написана слишком для нее пафосно)
    Мелкие кусочки частями переписаны на хруст, потому что они нешмагли в GC и не справились с нагрузками.
    И да, чяяяяятик со стикерочками безусловно сверхсложная задача.

     
     
  • 7.203, Аноним (-), 00:18, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Как ничего тоись? Вон, статью целую написали!

    Ага. А ты коммент)

    > И те тоже.
    > Что они написали на самом деле - ты даже разобраться не сможешь.

    Но могу послушать гуру! Специалиста по аэропортовским тележкам.

    > Какие-то невероятнейшей запутанности прокладки к прослойкам, хрен знает кому и зачем вообще сдавшиеся. Как мы без этого всего жили - хрен его знает!

    Ну можно много без чего жить. Вон в Чите народ в центре горда ходит по делам на улицу.

    > И да, чяяяяятик со стикерочками безусловно сверхсложная задача.

    Нет конечно. Покажи такую на СИшке)


     
     
  • 8.205, нах. (?), 00:46, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    слив засчитан я конечно ожидал что ты выдашь базу, что вот , вот и вот, каждому... большой текст свёрнут, показать
     
     
  • 9.206, Аноним (-), 00:56, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Палка копалка и ведро вместо туалета существуют гораздо дольше Но что-то я не в... текст свёрнут, показать
     
     
  • 10.212, нах. (?), 08:45, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А irc жив до сих пор И те кто умел пользоваться - что-то не бегут сломя голову ... текст свёрнут, показать
     
     
  • 11.254, Прохожий (??), 02:45, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Дык и лопаты живы до сих пор И Это ведь не означает, что они эффективней экска... текст свёрнут, показать
     
  • 4.199, Аноним (196), 22:57, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Где в том коде загрузчик? Нет? А почему?
     
  • 3.56, Аноним (56), 00:59, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > проги на расте

    А при чем здесь Раст?

     
     
  • 4.130, Аноним (130), 13:46, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    NSA. Вроде, и вставить элементарно, но и спрятать затруднительно.
     
  • 3.141, R (?), 15:43, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Также как и ненаписанные проги на сишке не глючат. Что сказать то хотел?)
     
     
  • 4.195, Аноним (196), 22:29, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Отвечу за кэпа, а то до тебя туго доходит. То что в отличие от раста прог на сишке гораздо больше. И только поэтому тут обсуждают сишный загрузчик. А не ржавый, которого нет.
     
  • 2.45, Ivan_83 (ok), 23:44, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    И кому это всё мешало?
     
  • 2.64, Аноним (-), 01:34, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Хаха! Сишников решили просто добить на этой неделе!

    Дай им мастеркласс. Выкинь их софт нафиг! Вон тебе - редсдох ос какой. Без GRUB, конечно. Чем не операционка? Кушай не обляпайся.

     
     
  • 3.101, Аноним (101), 09:19, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Заметь, аноним сверху про Раст ничего не говорил. Сишникам уже ничего не сотается, кроме как приплетать Раст, чтобы отвлечь внимание от своего проблемного языка.
     
  • 2.103, Аноним (103), 09:33, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Верно. Был Lilo, работал идеально.
     
     
  • 3.117, Аноним (117), 11:52, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Уже лет тринадцать GRUB/GRUB2 - это дичайший пережиток прошлого, который вовсе не нужен. Когда есть UEFI-загрузчик.
    А использовать GRUB с поделкой от Microsoft, это как выбрать в любовницы жирафа и тянуться сразу к сексу и поцелуям. Как можно совместить несовместимое - Microsoft и безопасность?
    Куда проще единожды освоить подпись загрузчика собственным KEK, чем вечно сидеть с вывернутой наизнанку задницей. Для особо фанерных тоже предусмотрено решение - SecureBoot disable.
    GRUBля уже давно должна была отмереть.
     
     
  • 4.125, Аноним (124), 13:12, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Когда есть UEFI-загрузчик.

    А когда нет?

     
     
  • 5.225, Аноним (117), 13:29, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Как вариант, начать работать и накопить на современный аппарат взамен двадцатилетнего.
     
     
  • 6.264, Аноним (124), 14:02, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Чтобы зачем?
    Кстати, ещё десять лет назад UEFI был далеко не везде.
     
     
  • 7.265, Аноним (117), 14:29, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Лет десять назад UEFI отсутствовал только на китайских шушлайках.
     
  • 4.171, нах. (?), 18:21, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Когда есть UEFI-загрузчик

    А когда паламалася - ведро кривое прилетело, или не совсем удачно собрался обновившийся initrd - идем за флэшкой для переустановки системы, да?

     
     
  • 5.182, Аноним (182), 19:21, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Типичный ручной админ-шаман. Как переставлял винду на каждый чих, так и линукс переставляет. А других админов не осталось, уехали в более лучшие места.
     
     
  • 6.191, нах. (?), 20:48, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Типичный ручной админ-шаман. Как переставлял винду на каждый чих, так и линукс
    > переставляет

    нет, это любители системдрянь-бута и уеков будут делать. Ведь у них никакого автоотката на прошлую версию в мейнстримных по крайней мере дистрибутивах не предусмотрено.

    Зато они не ручные, разом на весь прод с тыщами серверков накатят, у них такпринято.

    > А других админов не осталось, уехали в более лучшие места.

    а другие и не нужны, без вас скрипт справляется. А когда он не справляется - ну и переставят, чотакова, две кнопки в "панели" моднявой нажать, все равно на этих серверах сроду ничего ценного не водилось.



     
  • 5.224, Аноним (117), 13:29, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А старый переименовать в boot.efi.old в скрипте сборки initramfs религия или отсутствие знания не позволяет?
     
     
  • 6.227, нах. (?), 13:34, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > А старый переименовать в boot.efi.old в скрипте сборки initramfs религия или отсутствие
    > знания не позволяет?

    "типичный ручной админ-шаман". Но поскольку шаман самозванный - то еще и шаманство его неработающее. Как он загружаться собрался - узнаем в следующей серии, в этой у него на локалхосте винда, похоже.

     
  • 3.118, Аноним (117), 11:53, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Lilo - это уже даже не жираф, а какая-то медуза.
     
  • 2.136, Аноним (136), 14:29, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Какие они нафиг сишники? Вы когда ни будь пробовали сами GRUB2 настраивать? Истинна говорю вам - его писали какие то наркоманы. И по тому количеству багов там я не удивляюсь.
    Лучше вообще не использовать груб и грузить ядро напрямую из UEFI.
     
     
  • 3.140, Аноним (-), 15:39, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Вы когда ни будь пробовали сами GRUB2 настраивать?

    Я пробовал, поэтому до сих пор использую grub 0.99. Он просто работает, есть не просит.

     
     
  • 4.168, нах. (?), 18:18, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    пока не нужно той же uefi. Или не хочется рутового раздела zfs.

    К сожалению, автор сделался вечноживой (не совсем так как планировал) и уже ничего из этого для нас не напишет.

    Ну, подождем пока на хрусте перепишут. А пока под виндой посидим.

     
     
  • 5.185, Аноним (-), 20:23, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Чесслово я даже не знаю, что это такое Ни разу не сталкивался, и не понимаю зач... большой текст свёрнут, показать
     
     
  • 6.190, нах. (?), 20:44, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Чесслово я даже не знаю, что это такое. Ни разу не сталкивался, и не понимаю зачем оно
    > може быть нужно.

    уровень... запрещеноговоритьчего.

     
     
  • 7.246, Аноним (-), 18:51, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Я не разглядываю технологии, с которыми не имею дела. Зачем время впустую тратить? Ну и избегаю технологий, которые я не знаю, и которые не несут мне видимых полезностей.
     
     
  • 8.247, нах. (?), 20:42, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    В целом, конечно, подход допустимый, но ведь core duo когда-то все же ведь приде... текст свёрнут, показать
     
  • 4.249, Аноним (249), 22:45, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    ога, и инклюды он поддерживает, да? :)))))
     
     
  • 5.269, нах. (?), 15:08, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > ога, и инклюды он поддерживает, да? :)))))

    он еще и жпеги не поддерживает, прикинь.

    Потому что они нафиг не нужны загрузчику с менюшкой из двух строчек.

     

     ....большая нить свёрнута, показать (41)

  • 1.6, Аноним (6), 21:41, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/
    > могут использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot

    а может не могут а может она вообще не нужна была изначально

     
     
  • 2.119, Аноним (117), 11:56, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    SecureBoot очень полезная фича, когда взята под полный контроль. Всякие Васяны не лезут со своими модификациями системы. А Grub действительно не нужен.
     
     
  • 3.131, Pumpkin (??), 13:48, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > SecureBoot очень полезная фича, когда взята под полный контроль. Всякие Васяны не лезут со своими модификациями системы.

    сначала стартует код производителя железа, ключ в OTP памяти его но ты верь что полный контроль у тебя а не у Васяна

     
     
  • 4.228, Аноним (117), 13:34, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Переведи на русский, чего ты хотел то?
     
     
  • 5.285, Аноним (285), 11:27, 26/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Шо ви таки поц и шлизмазл.
     

  • 1.7, Аноним (7), 21:43, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    А точно ли можно доверять майкрософту который заставляет всех подписывать все его подписями?

    Верим на слово?

     
     
  • 2.14, Аноним (-), 21:54, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > А точно ли можно доверять майкрософту который заставляет
    > всех подписывать все его подписями?

    Так не доверяйте. И на ноутах линух перестанет грузиться нормально.

    И при чем тут мелкософт? Это разве они груб пишут? А не GNU?

     
     
  • 3.24, Аноним (23), 22:05, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/

    > Так не доверяйте. И на ноутах линух перестанет грузиться нормально.
    > И при чем тут мелкософт? Это разве они груб пишут? А не
    > GNU?

    При том что на кой его недоделанные приблуды нужны в ноутбуках... чтоб "нормально" грузить линукс. Ты нормальный вообще?


     
  • 3.25, Аноним (-), 22:07, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Почему перестанет? Подписывайте своими ключами.

    Вообще, если углубиться в историю (но это надо читать, это скучно, гораздо веселее распространять FUD о том, что SB это изобретение клятых майков для курощения линуксоидов), то выяснится, что Microsoft этим занимается потому, что никто другой из участников UEFI Forum не горел желанием это на себя взвалить.

     
     
  • 4.85, Аноним (85), 06:54, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    никто другой из участников UEFI Forum, в принципе не считал, что этот вендерлок очень нужно стандартизировать.
     
     
  • 5.121, Аноним (117), 12:03, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А где здесь вендерлок? Вся линейка потребительской техники HP серий pro, elite и Z, не говоря уже за сервера, предоставляет открытую модель управления ключами. Dell, скорее всего, также. За китайские поделки говорить не буду. Так китайцам, в принципе, доверять - себя не уважать.
     
     
  • 6.129, Аноним (130), 13:42, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    А что, у них в BIOS Setup в разделе Boot нельзя переключиться в режим загрузки Legacy BIOS ?
     
     
  • 7.229, Аноним (117), 13:36, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    У кого "у них" и зачем переключаться? Что за трава?
     
  • 4.262, anonymous (??), 10:31, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >>>Почему перестанет? Подписывайте своими ключами.

    Optrom вы тоже подпишите своими ключами? Как раз из недавнего: у одного из производителей серверов попытался удалить из DB "Microsoft Corporation UEFI CA 2011" - отвалился их массив на Adaptec SmartHBA, вероятно, подписанный этим ключом. Ещё у одного Tier-1 производителя в настройках BIOS есть оцпия "Enable Microsoft UEFI CA" - "is enabled by default" как Вы думаете почему? Хотя там предустановленная Ubuntu.

     
     
  • 5.267, Аноним (117), 14:35, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Мы не думаем. И почему отвалился?
     
     
  • 6.270, anonymous (??), 15:50, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >>>Мы не думаем. И почему отвалился?

    Потому что карты расширения (RAID, GPU) имеют свой UEFI, который часто подписан корневым "Microsoft Corporation UEFI CA 2011", соответственно удаляя этот сертификат из DB получаем невозможность загрузить UEFI карты расширения. Выход тут только энролить конкретную подпись OpROM, затем уже можно пытаться удалять "Microsoft Corporation UEFI CA 2011".

     
  • 3.67, penetrator (?), 01:38, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    не включай SB
     
     
  • 4.201, Аноним (136), 23:48, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >не включай SB

    Ты его сначала отключи на современных железках, чтоб не включать :)

     
     
  • 5.230, нах. (?), 13:37, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >>не включай SB
    > Ты его сначала отключи на современных железках, чтоб не включать :)

    sb - в отличие от uefi - обычно легко отключается даже на суперсовременных.
    Э... правда, сперва надо загрузиться.

     
  • 5.235, penetrator (?), 16:03, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >>не включай SB
    > Ты его сначала отключи на современных железках, чтоб не включать :)

    зашел в BIOS отключил? выбрал загрузку без Secure Boot, а некотрых платформах так еще и CSM доступен, ты главное не бери Surface Laptop )))

     
     
  • 6.243, нах. (?), 17:15, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > зашел в BIOS отключил? выбрал загрузку без Secure Boot, а некотрых платформах

    чувак, твой бивис сдох в 2005м году. Баттхед чуть дольше промучался.

    Нет никаких бивисов в 2k25. А uefi может вовсе никакого "setup" не предусматривать.

    Ну и уж тем более он не даст тебе так просто отключить однажды включенный sb.
    И нет, не только на surface, а на любой нормальной системе.

     
  • 2.52, Карлос Сношайтилис (ok), 00:05, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Так не доверяй.
    Поменяй ключи и ничто не сможет загрузиться без подписи твоим ключом.
     
  • 2.88, Аноним (87), 08:27, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Ну так, джентльмены же.
     
  • 2.286, Аноним (286), 15:31, 27/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Подпись M$ на shim - развод: https://www.linux.org.ru/forum/security/17682542?cid=17685158
     

  • 1.8, Аноним (-), 21:45, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > Опубликованы сведения о 21 уязвимости в загрузчике GRUB2,
    > большинство из которых приводят к переполнению буфера

    "Ой, кто же это наделал?.. ой-ой, вот кто же это наделал??"

    В треда призывается аноним Ян
    opennet.ru/openforum/vsluhforumID3/136071.html#44

    Ув. Ян, вы говорили что пишите на си и не допускаете таких глупых ошибок.
    Вы могли бы помочь своим недалеким коллегам из GRUB и научить их?

     
     
  • 2.122, Аноним (117), 12:05, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А нужно ли Яну влезать в этот проект - пережиток прошлого? Или просто Вам так хочется?
     
     
  • 3.142, R (?), 15:47, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нужно. Поскольку иначе получается, что сишники, которые не допускают таких глупых ошибок, существуют только на словах
     
     
  • 4.231, Аноним (117), 13:39, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Тогда, по аналогии, Вам надо влезть в состав тружеников свалки, предающих тамошнему хламу новую жизнь. Почему? Да потому, что мне так хочется.
     

  • 1.9, Аноним (9), 21:46, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    Знаете почему находят уязвимости в программах уровня GRUB2 написанных на C, но не находят в таких же написанных на Rust?
    Потому что программы первого вида существуют и пользуются популярностью.
     
     
  • 2.11, НяшМяш (ok), 21:49, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Причина тряски?
     
     
  • 3.18, Аноним (9), 21:58, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Причина тряски анонимов в комментариях?
    На это не нужна причина, нас всегда трясёт.
    О чём бы ни была новость.
    Хоть C, хоть Rust.
    Хоть Gnome, хоть KDE.
    Хоть Linux, хоть FreeBSD.
    Хоть Ubuntu, хоть Fedora.
    Хоть Valve с Team Fortress, хоть VK с Nau Engine.

    Зайди в любую новость - там дискотека паркинсонщиков.  

     
     
  • 4.245, Аноним (245), 18:43, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Священные войны.. никогда не меняются.
     
  • 3.42, Нуину (?), 23:41, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Где он не прав? Вы уже используете какой-то бутлоэдер на расте? Поделитесь?
     
  • 2.60, Аноним (-), 01:16, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > в программах уровня GRUB2

    Простите, но у груб2 уровень просто днище.
    Даже systemd-boot просто шикарная вещь по сравнению с этим дырявым быдлокодом, написаным в пьяном угаре какирами с мыслью "ну раз не упало, то можно и в прод"

     
  • 2.66, Аноним (-), 01:36, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > но не находят в таких же написанных на Rust?

    Список CVE уже готов поспорить с этим смелым утверждением. Там по кейворду Rust уже СОТНИ вулнов. При том что софта еще толком никто не видел.

     
     
  • 3.144, R (?), 15:50, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Если все время ходить с закрытыми глазами, то, конечно, ничего не увидишь)
     
  • 3.211, Сосиска в кармане (?), 01:58, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да вот только все те сотни CVE логические, от которых никто не застрахован. А если всё же поискать слово memory на странице, то будет видно, что все те ошибки памяти из-за кривых привязок к сишным прогам либо из-за работы с сырой памятью.
     
  • 2.109, нах. (?), 10:41, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    так надо их просто запретить, вот и все!
     

  • 1.12, Аноним (12), 21:50, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Там вроде была "уязвимость" вида "зажать del чтобы обойти secure boot", после такого ещё остались пользователи у этой шляпы? Кому она нужна в эпоху uefi, efistub ж есть?
     
     
  • 2.28, Аноним (-), 22:22, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Там вроде была "уязвимость" вида "зажать del

    Нужно 28 раз нажать Back Space в поле с именем пользователя или паролем, после чего будет запущена консоль GRUB, из которой можно загрузить собственное ядро (например, с USB-накопителя), получить доступ к данным на дисках или повредить имеющиеся данные.
    opennet.ru/opennews/art.shtml?num=43536

    Новость за 2015 год, а сама проблема с декабря 2009 года.

    В общем... в GRUB2 все стабильно.
    Дыры на месте. Сишники тоже не изменились)))

     
     
  • 3.34, Аноним (34), 22:44, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    в 2015 я еще лилу юзал
     
     
  • 4.209, Аноним (209), 01:18, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    lilo.
     
  • 3.83, Аноним (83), 06:19, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Так это же хорошо, что можно загрузить другое ядро, если то, что установлено почему-то не грузится.
     

  • 1.13, Аноним (209), 21:52, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Если вы напишете низкоуровневые программы на rust там будет сплошной unsafe поэтому это мало что даст.
     
     
  • 2.29, Вася Пупкин (?), 22:25, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Почему вы никак не можете понять простую мыль из новости в новость, что не 'сплошной', а только тонкая необходимая низкоуровневая часть и та довольно сильно проверяется компиляторм
     
     
  • 3.32, Аноним (-), 22:40, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Потому что для этого думать нужно А тут твою сишку-любимку посмели обидеть Кр... большой текст свёрнут, показать
     
     
  • 4.41, Аноним (6), 23:30, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Потому что для этого думать нужно))

    и где можно посмотреть на твой продуманный загрузчик на расте?

     
     
  • 5.145, R (?), 15:52, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Кроме загрузчика софта больше не существует?)
     
     
  • 6.259, _ (??), 06:29, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    На расте - нет не существует. Впрочем есть пара пародий на софт...

    Но ты не отвлекайся, тут топик про бут-лоадеры. Системная вещь. Дай ссылку на бут-лоадер сделанный на расте.

     
  • 4.44, Аноним (44), 23:44, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> Почему вы никак не можете понять простую мыль из новости в новость
    > Потому что для этого думать нужно))
    > А тут твою сишку-любимку посмели обидеть! Кровь застилает глаза и оно бежит
    > строчить коменты!
    > Лучше бы задумались как в сишке писать без таких тупых багов!
    > Вы патч посмотрите.

    Лучше бы спросить, кто из местных "сишников" держит вот это вот (ну и еще 1001 костыль "самого луДьшего ЯП!") в уме:
    +  /*
    +   * We do not subtract one from size here to avoid dealing with underflowing
    +   * the value, which is why to_copy is always checked to be greater than one
    +   * throughout this function.
    +   */
    +  grub_size_t to_copy = size;

     
  • 2.49, Карлос Сношайтилис (ok), 00:00, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Меняем на прикроватной тумбочке K&R на Rust Book и перестаём писать глупости. Как тебе план?

    unsafe в расте не равен вакханалии в С. Ансейф делает послабления но не отключает все проверки. Всеми любимый, borrow checker неотключаем. А некорректная работа с сырыми указателями вызывет панику, а не расстелит красную ковровую дорожку к левой памяти.

     
     
  • 3.62, Аноним (6), 01:31, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Меняем на прикроватной тумбочке K&R на Rust Book

    лучше уж

    https://docs.vlang.io/introduction.html

     
     
  • 4.73, Аноним (73), 02:54, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Может в тебя документацией 1с кинуть?
     
     
  • 5.79, Аноним (6), 03:23, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Там ОС уже полезней ресдоха

    https://github.com/vlang/vinix

     
  • 5.84, ВайКакПросто (?), 06:21, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Кинь. Хоть зарабатывать больше будет.
     
  • 5.108, нах. (?), 10:40, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А что, на ней уже и ос написали?!

    Кидай, немедленно. На нее и переобуемся.

     
     
  • 6.126, Аноним (130), 13:20, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Надо бы сравнить производительность ОС на 1С и на Питоне.
     
  • 3.260, _ (??), 06:30, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >Меняем на прикроватной тумбочке K&R на Rust Book и перестаём писать глупости. Как тебе план?

    Если коротко - читай "Замена кроватей в борделе" :)

     
  • 2.113, Аноним (124), 11:32, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А что там в грубе низкоуровневого?
     

  • 1.15, Tron is Whistling (?), 21:54, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот всё кроме CVE-2025-0624 - такое, что для этого нужно заранее в систему под рутом попасть, т.е. от обхода синекуребута уже толку нет.
     
     
  • 2.22, Аноним (22), 21:59, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Зато программа на расте будет опасна всегда.
     
     
  • 3.70, Вася (??), 01:50, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +4 +/
    >Зато программа на расте будет опасна всегда.

    Знаешь почему тебя заминусовали? Потому что никто не может поверить что на расте могут быть программы.

     
     
  • 4.91, Аноним (87), 08:40, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Ну почему же? Даже целая ОСь есть... Ну не целая, половина, четвертушка,...
     
  • 4.146, R (?), 16:00, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    У Cloudflare код, который проксирует, как минимум, четверть интернета, написан на Раст
    Новые компоненты Андроида пишутся на Раст
    Тор переписывают на Раст и т.д.
    Каково вам живется в выдуманном мире? У вас за окном пони не бегат по кисельным берегам? xD
     
     
  • 5.208, нах. (?), 01:05, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > У Cloudflare код, который проксирует, как минимум, четверть интернета, написан на Раст

    но никто его почему-то не видит (нет, "фреймворк" ничего не проксирует, он вообще не компилируется)

    > Новые компоненты Андроида пишутся на Раст

    и что нового лично для тебя появилось в ведроиде за последние пять лет? Обои, если что, и без раста перемещались.

    > Тор переписывают на Раст и т.д.

    Это вот одна из лучших антиреклам хрусту и его переписькивателям.
    Переписывают-переписывают. Лет пять уже не могут справиться с задачей. Кое-как удалось подключиться к сети в качестве клиента, но и это неточно.

     
     
  • 6.215, R (?), 09:02, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Позиция уровня "если я чего-то не вижу, то этого нет". Вы, похоже, и в атомы и молекулы не верите. И космоса для вас не существуест, его же не видно. Ахахахах
     
     
  • 7.216, нах. (?), 09:24, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    У нас есть ТАКИЕ приборы Но мы вам их тут не покажем Вода холодная Атомы мо... большой текст свёрнут, показать
     
     
  • 8.252, Tron is Whistling (?), 00:13, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    У клаудфлары код, который проксирует А на деле может быть, что там хелловорлд, ... текст свёрнут, показать
     
     
  • 9.261, нах. (?), 09:30, 24/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    что в целом тоже задачка достаточно примитивная, примерно 1 10 от того что делае... большой текст свёрнут, показать
     

  • 1.26, Аноним (26), 22:14, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > В загрузчике GRUB2 выявлена 21 уязвимость

    А ещё он медленный дико: ему для загрузки ядра обычно нужны секунды, в то время как syslinux и systemd-boot справляются за десятки-сотни мс.

     
     
  • 2.36, Аноним (36), 22:55, 21/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > медленный дико

    Быстрый он насколько это можно, просто там драйвер графики очень очень убогий - и это сделано в угоду совместимости.

     
  • 2.92, Аноним (87), 08:48, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нашёл проблему для локалхоста, загружается, понимаете ли, секунды. А в эмбеддовке, где действительно может быть необходимо быстро, рулит Das U-boot.
     

  • 1.30, мяв (?), 22:27, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    что в очередной раз подтверждает не особую нужность этой прелести, в виду существования uki/refind/sdboot.
    правда, каким боком grub к ядерному lockdown ? или у него там свой ?
     
  • 1.40, _kp (ok), 23:11, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ой, уязвимости. Срочно бежать исправлять?
    Нет.

    >>большинство..  для обхода .. загрузки UEFI Secure Boot

    Создают эту часть кода, багов и подобных свистелок, как и латают, не из любви к искусству, а за оплату копоративными спонсорами.
    А большинству на это пофиг.

    Теперь подумаем, а кто же пишет г-код? Если для UEFI, то подозрения на Микрософт.
    А если так, то новость столько о Grub, сколько о запахе от рук. ;)

     
  • 1.43, Нуину (?), 23:43, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Не вижу в кодобазе grub санитайзеров и фазинга. А эти уязвимости пофиксились бы рантайм проверками границ как в расте. Оно вам надо? Ну вставьте тогда.
     
  • 1.46, Аноним (46), 23:45, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это здорово и очень хорошо. Копирасты идут ... куда пошлют.
     
  • 1.48, Аноним (48), 23:58, 21/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Теперь нас будут "уговаривать", что systemd-boot - наше всё?
     
     
  • 2.100, Аноним (100), 09:15, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, просто все перейдут на systemd-boot
     
     
  • 3.127, Аноним (130), 13:27, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Гентушники, фромскретчники, деуванщики, альпинисты не прейдут.
     
     
  • 4.133, blkkid (?), 14:03, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Гентушники, фромскретчники, деуванщики,

    все полтора землекопа

    > альпинисты

    в контейнерах нет загрузчика

     
  • 4.176, Аноним (176), 18:52, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    https://pkgs.alpinelinux.org/package/edge/testing/x86_64/systemd-boot
     
  • 4.183, Аноним (182), 19:30, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Это пожалуйста, на локалзостах можно и нужно чудить, чтобы потом руки не чесались прод ломать. Но на локалхосте и SB не нужен.
     
     
  • 5.287, Аноним (287), 16:06, 08/03/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А я вот намеренно на системах systemd впихиваю, где только придумаю, bash-скрипты. Чтоб пришедний потом адепт сыстэмды окуел.
     
  • 4.210, мяв (?), 01:35, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    первые и вторые уже давно активно переходят.
    у альпайна даже 2 реализации efi-stub'а в репах.
    у девуана должна была быть одна независимая от sd. но не сложилось и все просто используют systemd-boot-efi
     
     
  • 5.288, Аноним (287), 16:09, 08/03/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Я, скорее, на Das U-boot перейду, если на Grub разработчики забьют.
     
  • 4.217, Аноним (219), 09:44, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Все четверо?
     

  • 1.51, Аноним (51), 00:01, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Авторы, пожалуйста указывайте когда уязвимость появилась!

    Какой смысл обсуждать вчерашние закладки?

     
  • 1.55, Аноним (55), 00:39, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это какой-то позор?!
     
  • 1.57, Аноним (57), 01:02, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Ух взялись за grub. Следом пойдёт PR systemd-boot.
     
  • 1.61, Аноним (61), 01:21, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    При загрузке ext4 раздела из BIOS многое из перечисленного не уязвимости вовсе. Если при сборке GRUB не добавлять всякий мусор, сократится площадь атаки.
     
     
  • 2.107, нах. (?), 10:38, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    а если вообще не собирать...
     

  • 1.71, Аноним (73), 02:32, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    "В загрузчике GRUB2 выявлена 21 уязвимость!"
    @
    Внедряем GRUB2 в продуктив!
     
  • 1.74, Hippopotamus (ok), 02:56, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Я уже лет десять как загружаю ядро прямо из EFI. Зачем нужен сабж несовсем понятно
     
     
  • 2.94, Аноним (87), 08:55, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Нравится собирать ядро в M$ PE-формате?
     
     
  • 3.106, нах. (?), 10:38, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Единственный нормальный формат!

     
     
  • 4.128, Аноним (130), 13:30, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Чего же тогда IBM AIX, HP-UX, Solaris его не взяли такой нормальный?
     
     
  • 5.132, Аноним (124), 13:57, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    NYH
     
  • 5.143, нах. (?), 15:48, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Чего же тогда IBM AIX, HP-UX, Solaris его не взяли такой нормальный?

    чтоб занять всем вместе (забыл еще DEC, SGI, и кто там еще... был) пол-процента серверного рынка, сокращающегося каждый день.

    Эти парни точно знают как надо выбирать форматы, с ними не пропадешь!


     
     
  • 6.181, Аноним (181), 19:08, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Это сейчас. Но в их время, пол-процента было у серверов на WinNT. Серверов на Линуксе в проде, наверное, тогда ещё практически не встречалось.
     
     
  • 7.187, нах. (?), 20:39, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Это сейчас. Но в их время, пол-процента было у серверов на WinNT.

    вот она и пожрала половину их кормовой базы, по дороге еще и нетварью перекусив (ну там конечно уже все было плохо). Остатки через десять лет доел lin00ps, но как мы все понимаем, вовсе не в силу каких-то технических преимуществ, а потому что халявка.

    В проде кому денег на сан не хватало, тогда в основном была фря, та, 1-2. Линукс был на рабочих местах админов того прода - ну, кому было интересно поковыряться. Кому неинтересно - ставили ту же фрю или выклянчивали у начальства сановскую рабочую станцию, если денег было оппой жуй.

    Поскольку в том линуксе плохо было в общем-то всьо.

     
  • 2.112, Аноним (-), 11:14, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Это как делается?
     

  • 1.76, Аноним (76), 02:59, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    уефи, секурибут, ключи какието понапридумывали.... уже прошивку невозможно обновить без виндовса.
    а какой толк от всего этого, если вирусы до сих пор пишут и под секурибутом?
    а при физическом доступе к компу смысл секурибута обнуляется простым кейлоггером или скринридером.

    биос с поддержкой дисков больше 2тб, прошивки в неперезаписываемый еепром (потому что надо сразу писать без багов) и операционки на раздельных внешних дисках - вот и всё что нужно для счастья.

     
     
  • 2.105, Аноним (105), 10:05, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    "биос с поддержкой дисков больше 2тб, прошивки в неперезаписываемый еепром (потому что надо сразу писать без багов) и операционки на раздельных внешних дисках - вот и всё что нужно для счастья."

    Неперезаписываемый еепром это наверное тот чип, у которого обломана ножка для подачи сигнала для перезаписи? Или подпаять её на переключатель! Галактико опасносте!!!

    Писать без багов не получится, и даже не надо!

    Связь между дисками тоже через флешку с переключателем! Галактико двойная опасносте!!!

    Вы почти разрушили запланированное устаревание. Поздравляю!

     
     
  • 3.188, Аноним (188), 20:40, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    да, на переключатель захотел обновить - включил, захотел - выключил это к тем ... большой текст свёрнут, показать
     
     
  • 4.200, Аноним (105), 23:16, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Во многом, очень во многом с Вами согласен.
    К счастью, мы с Ваии не делаем погоды в мире! Иначе большинство было бы как минимум раочаровано. Про максимум лучше не думать :(
     
     
  • 5.240, нах. (?), 16:23, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    К счастью, да, вы погоды не делаете.

    гугли: "фотография стоек центра обработки данных". Было бы очень здорово вас с тем дедулей заставить бегать вдоль рядов, дергая бесконечные переключатели (еще неплохо б сперва вынуть, ОСТОРОЖНО! провода не выдерни из разъемов! вооот ту сорокакилограммовую бандуру, и еще 24 штуки - в одной стойке, следующие сорок - следом, открыть корпус, найти переключатель). Но у вас коленки уже не гнутся, глазки не видят, вы ж эту задачу сфейлите, и придется кому-то помоложе.

     
     
  • 6.244, Аноним (244), 17:28, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Переключатель может быть вынесен наружу.
    Не всё оборудование настолько критично.
    VLAN и IPMI
    Двухфакторная организация
    и т.д
    Токсичность не понятна.
     
     
  • 7.248, нах. (?), 20:57, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    ты так и не загуглил картинку Причем лучше бы поискать реальную, обычно в личны... большой текст свёрнут, показать
     
  • 4.239, нах. (?), 16:19, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Дедуля, у вас шапочка из фольги сползла. Поправь, а то ближайшая вышка 5g уже напряженно гудит, прошивая тебе моск (она ж не знает что его там нет).

    > вы не поверите, но 20 лет назад ты покупал комп с кучей периферии и никакие ПРОШИВКИ
    > обновлять не требовалось

    то что ты, глупый дедушка, ничего не обновлял - не говорит о том что "не требовалось". Говорит о том что 20 лет назад в околоойти было настолько много лишних денег, что даже тебе почему-то нашлась работа.

    У меня вполне себе лежат стопочкой диски с этими самыми прошивками аж 99го года.

    Это я еще модемные не храню (чего их хранить, там для "обновления" была нужна уф-лампа, если повезло, и программатор, давно уже ничего этого нет). А ведь у какого фидошника в каком-нибудь 93м тоже стопочкой лежали.

     

  • 1.81, Аноним (-), 04:04, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Как хорошо что я перешел на systemd boot, теперь никакие агентства на три буквы меня не взломают.
     
     
  • 2.138, Аноним (48), 14:39, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Ага, не взломают, ведь враг уже внутри.
     
  • 2.180, Аноним (181), 19:04, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А SELinux, в дополнение к нему, только укрепит вашу уверенность.
     
     
  • 3.234, Аноним (234), 15:38, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > SELinux

    Нужно отключать в первую очередь везде и сразу. Просто почитайте по заказу какой конторы оно пилилось.

     

  • 1.86, Аноним (86), 07:18, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    "большинство из которых приводят к переполнению буфера и могут использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot"

    Так это не уязвимости тогда, это фичи! ))

     
  • 1.96, Fracta1L (ok), 09:08, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Всё же верным решением было ливнуть на systemd-boot
     
  • 1.98, Аноним (100), 09:12, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Так все же пользуются systemd-boot или нет?
     
     
  • 2.104, Аноним (104), 10:02, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    512 байт MBR хватит всем
     
     
  • 3.134, Аноним (57), 14:08, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, нужен 1mb для MBR gap.
     
  • 3.186, Аноним (-), 20:26, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Воистину, ибо https://man.freebsd.org/cgi/man.cgi?query=boot0cfg
     
  • 2.149, Аноним (149), 16:13, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Пользуются тем, что идёт по умолчанию в дистрибутиве. Ваш К.О.
     

  • 1.116, Аноним (124), 11:44, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > могут использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot

    Почему каждый раз это подаётся как уязвимость груба? Всё равно как если писать «этот эксплоит имеет уязвимость, позволяющую получить права root».

     
  • 1.148, Смузихлёб (ok), 16:12, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    А кому нужен груб, когда mbr уже лет 10 как почил в Бозе?
     
     
  • 2.179, Аноним (181), 19:02, 22/02/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да ну? А мужики-то и не знают!
     

  • 1.193, Vkni (ok), 21:50, 22/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Все так всполошились, как будто они являются акционерами MS, и для них это неприятная новость.
     
     
  • 2.213, нах. (?), 08:47, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Скорее стоит вопрос а достоин ли GRUB чтобы его переписали на Rust?

    Абсолютно недостоин. Всем известно что на хруст переписывают только особо удостоенные такой чести программы.

    Вот, кстати, systemd никому не жалко. Займешься? Я готов даже задонатить пару копеек.


     

  • 1.220, какая разница (?), 09:55, 23/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Только Debian не испугался признать, что ошибки есть - другие просто выставили "заглушку", что неверная ссылка или запрос..
     
     
  • 2.221, Аноним (244), 12:13, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    У остальных ссылки битые в статье
     
  • 2.222, Аноним (244), 12:54, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Подставил вместо v правильный CVE:
    У Debian есть ссылка на патч
    У SUSE есть ссылка на патч в комментариях
    У Ubuntu не нашел ссылки на патч
    У RedHat не нашел ссылки на патч
     
     
  • 3.223, нах. (?), 13:22, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    и кто ж тебе глупенькому подсказал это сделать Если б ты не пытался пихать пра... большой текст свёрнут, показать
     
     
  • 4.242, Аноним (244), 16:53, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Получил ту же информацию, не прибегая к помощи гугла. Догадки выручали ещё до гугла. Привык анализировать не только URL. )
     

  • 1.250, Страдивариус (?), 22:58, 23/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Зачем GRUB2 разбирать jpeg'и и tar-архивы? Какая-то дичь - если ядерный реактор нагрузить допфункциями типа американских горок, то в итоге будет "упс".
     
     
  • 2.251, нах. (?), 23:09, 23/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Зачем GRUB2 разбирать jpeg'и и tar-архивы?

    Как я еще тебе должен отрисовывать нескучные обои, на фоне которых ты пытаешься расслеповать текст?

    tar - один из вариантов файловой системы, тут все нормально. Тебя ж не смущает что initrd сейчас у большинства дистрибутивов - просто cpio архив (или сложно - аж два коряво состыкованных архива)?

     

  • 1.263, крокодил мимо.. (-), 12:21, 24/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    помню, как топили за grub2/efi/uefi.. дескать, grub уже не торт, надо по-другому, для большего размера дисков.. про верификацию ключами (M$) как-то скромно умалчивали, топя за "секурную загрузку", хотя, при физ. доступе к машине, толку с "секурбута", нет в принципе.. в итоге.. если раньше chainloader/makeactive грузил почти всё, что шло с бут(страп/блок)-кодом в партиции, то сейчас - refind, например..

    ещё одна причина перейти на опёнок: man 8 installboot

    кмк, запихивание любых "ключей верификации" на этап загрузки - прямая дорога к вендорлоку, малвари и прочим, не менее "нужным и полезным"(ц)(тм) вещам..


     
  • 1.271, ы (?), 21:50, 24/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    это нейросетями нашли, или продвинутым статичкеским анализатром кода?
     
     
  • 2.280, BeLord (ok), 14:44, 25/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Просто разрабы вышли на пенсию и опубликовали архивы не исправленных багов-)))
     
  • 2.284, anon2 (?), 06:48, 26/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Скорее всего, статическими анализаторами Тут по работе проверили svace 8217 ом... большой текст свёрнут, показать
     

  • 1.273, Аноним (273), 23:49, 24/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Странно что никто не прошел по ссылке. А ведь там дыр в grub - не много всего 4.
    А 15 в любимом linux kernel.
     
     
  • 2.276, Аноним (276), 08:15, 25/02/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это именно дыры в GRUB. Там свои колхозные урезанные реализации ФС, с ядром Linux не пересекающиеся. Написаны разработчиками GRUB и доступны под лицензией GPLv3+, несовместимой с лицензией GPLv2 под которой ядро.

    https://github.com/rhboot/grub2/blob/fedora-41/grub-core/fs/

     

  • 1.281, AlexN (??), 18:29, 25/02/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Вся эта мутотень с безопасной загрузкой - попытка мелкософта контролировать рынок ОС.
    Вмешаться в загрузчик удалённо нельзя, а имея физический доступ к железу, можно напихать чего угодно.  Это во-первых.
    А во-вторых, у кого загрузка системы происходит бесконтрольно? Есть такие?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру