Klávesové zkratky na tomto webu - základní­
Přeskočit hlavičku portálu


Hacknout Grub2 zvládne každý, stačí 28× stisknout klávesu. Stáhněte opravu

  20:15aktualizováno  26. prosince 16:59
Netradiční způsob útoku si může vyzkoušet každý, kdo umí počítat na prstech. Programátoři zároveň s informacemi o šest let staré chybě vydali i její opravu.

Detail klávesy Backspace | foto: Pavel Kasík - Technet.cz

Zpráva o zero-day chybě linuxového zaváděcího programu (bootloaderu) Grub2 byla celkem překvapivá, protože se týkala velmi staré chyby populárního zavaděče, který je tradiční součástí populárních linuxových distribucí. Programátoři Hector Marco a Ismael Ripoll analýzou zdrojového kódu objevili chybu, která v rozšířeném open-sourcovém programu Grub2 zůstala od roku 2009. Zavaděč GNU Grub spolupracuje i s platformami Windows, OS X nebo Solaris, nejčastěji je ale používán s různými distribucemi operačního systému Linux, jejich je výchozí součástí.

Koho se týká?

Chybu by měl opravit každý, kdo používá jako jedno ze zabezpečení počítače zaheslování zavaděče Grub2. Zranitelnost lze využít i v případě, že uživatel šifruje data na disku. Útočník musí mít pro využití této chyby fyzický přístup k počítači.

Chyba je zneužitelná na systémech, které používají k zabezpečení počítače (i) zaheslování zavaděče systému. Programátoři zároveň ukázali, že je možné použít ji (nepřímo, pomocí speciálního narafičeného malware) i k napadení počítačů, které mají další ochranné prvky, například zašifrovaná data na disku. Útočník však každopádně potřebuje fyzický přístup k napadanému počítači.

„To, že je váš systém napadnutelný, zjistíte tak, že při přihlašování místo jména a hesla 28krát stisknete klávesu Backspace a potvrdíte klávesou Enter,“ píší objevitelé chyby. „Spustíte tím nouzový příkazový řádek Grub2, ze kterého můžete například nainstalovat do počítače malware.“ I v případě, že má uživatel počítače zašifrován osobní adresář, se tak útočník může dostat k citlivým datům.

Chyba funguje na principu využití špatné práce programu s pamětí. Opakovaným stiskem Backspace hacker vnutí počítači hodnotu, která jej donutí přerušit probíhající operaci a dostat se do jakéhosi nouzového příkazového řádku. Nedojde sice k přihlášení jménem správce systému, ale i tak lze situace využít k napadení počítače a posléze (po přihlášení správce) i k nenápadnému získání soukromých dat či dokonce kontroly nad počítačem.

S informací o chybě vydali Marco a Ripoll také její opravu. Na záplatu upozornily i týmy vyvíjející Ubuntu, Red Hat nebo Debian.

Aktualizace: V článku jsme zdůraznili roli zavaděče Grub2 a objasnili, jakým způsobem šlo chybu využít k napadení zašifrované části disku.

Autor:




Hlavní zprávy

Další z rubriky

Windows Subsystem for Linux umožní ve Windows spouštět nativně Linuxové...
Uživatelé Windows 10 mohou být nechráněni proti novému problému

Linuxový terminál, který Microsoft nově doplnil do Windows 10, způsobuje neočekávané problémy. Bezpečnostní odborníci varují před jeho zneužitím.  celý článek

Tesla 3
Tesla chce spolupracovat s AMD na výrobě čipů do svých aut

Tesla pracuje na svém vlastním čipu pro umělou inteligenci do automobilů a podílet by se na tom měl i výrobce čipů AMD.  celý článek

Čip Toshiba
Toshiba se zbavila výroby čipů. Prodala ji fondu podporovanému Japonci

Čipová divize společnosti Toshiba má nového majitele. Je jím investiční fond Bain Capital, který podporuje i japonská vláda.  celý článek

Okurková limonáda v 7 minutách!
Okurková limonáda v 7 minutách!

Vyměňte kupované limonády za domácí.

Najdete na iDNES.cz



mobilní verze
© 1999–2017 MAFRA, a. s., a dodavatelé Profimedia, Reuters, ČTK, AP. Jakékoliv užití obsahu včetně převzetí, šíření či dalšího zpřístupňování článků a fotografií je bez souhlasu MAFRA, a. s., zakázáno. Provozovatelem serveru iDNES.cz je MAFRA, a. s., se sídlem
Karla Engliše 519/11, 150 00 Praha 5, IČ: 45313351, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl B, vložka 1328. Vydavatelství MAFRA, a. s., je členem koncernu AGROFERT.