CVE-2025-61661
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W komponencie GRUB (Grand Unified Bootloader) wykryto podatność polegającą na nieprawidłowym przetwarzaniu konwersji ciągów znaków podczas odczytu danych z urządzenia USB. Lokalny atakujący może podłączyć złośliwie skonfigurowane urządzenie USB podczas sekwencji rozruchu, co prowadzi do awarii GRUB-a i odmowy usługi (DoS). Możliwe jest również uszkodzenie danych, jednak ze względu na złożoność exploita wpływ jest najprawdopodobniej ograniczony.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przeprowadzenia ataku DoS na etapie rozruchu systemu, co może uniemożliwić uruchomienie serwerów lub stacji roboczych. Atak wymaga fizycznego dostępu do urządzenia, co ogranicza zagrożenie głównie do środowisk z niekontrolowanym dostępem do portów USB.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek bezpieczeństwa dostarczonych przez dystrybutora GRUB-a oraz ograniczenie fizycznego dostępu do portów USB w krytycznych systemach. Należy również rozważyć wyłączenie bootowania z urządzeń USB w konfiguracji BIOS/UEFI, jeśli nie jest to wymagane.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been identified in the GRUB (Grand Unified Bootloader) component. This flaw occurs because the bootloader mishandles string conversion when reading information from a USB device, allowing an attacker to exploit inconsistent length values. A local attacker can connect a maliciously configured USB device during the boot sequence to trigger this issue. A successful exploitation may lead GRUB to crash, leading to a Denial of Service. Data corruption may be also possible, although given the complexity of the exploit the impact is most likely limited.