微软利用其人工智能驱动的 Security Copilot 发现了 GRUB2、U-Boot 和 Barebox 开源引导加载程序中 20 个以前未知的漏洞。GRUB2（GRand Unified Bootloader）是大多数 Linux 发行版（包括 Ubuntu）的默认引导加载程序，而 U-Boot 和 Barebox 通常用于嵌入式和物联网设备。

微软在 GRUB2 中发现了 11 个漏洞，包括文件系统解析器中的整数和缓冲区溢出、命令缺陷以及加密比较中的侧信道。

此外，在 U-Boot 和 Barebox 中还发现了解析 SquashFS、EXT4、CramFS、JFFS2 和符号链接的 9 个缓冲区溢出漏洞，需要物理访问才能利用。

新发现的漏洞会影响依赖 UEFI 安全启动的设备，如果满足正确的条件，攻击者可以绕过安全保护措施在设备上执行任意代码。

虽然利用这些漏洞可能需要对设备进行本地访问，但之前的 bootkit 攻击（例如BlackLotus）是通过恶意软件感染实现的。

微软解释说：“虽然威胁行为者可能需要物理设备访问才能利用 U-boot 或 Barebox 漏洞，但在 GRUB2 的情况下，这些漏洞可能被进一步利用来绕过安全启动并安装隐秘的启动工具包或可能绕过其他安全机制，如 BitLocker 。 ”

“安装此类启动工具包的影响非常大，因为这可以让威胁行为者完全控制设备，从而控制启动过程和操作系统，危害网络上的其他设备，并进行其他恶意活动。此外，它可能会导致持久性恶意软件，即使在重新安装操作系统或更换硬盘后仍保持不变。”

以下是微软在 GRUB2 中发现的缺陷摘要：

CVE-2024-56737 – 由于对非空终止字符串进行不安全的 strcpy，导致 HFS 文件系统挂载时出现缓冲区溢出

CVE-2024-56738 – 加密比较函数中的旁道攻击（grub_crypto_memcmp 非恒定时间）

CVE-2025-0677 – UFS 符号链接处理中的整数溢出导致缓冲区溢出

CVE-2025-0678 – Squash4 文件读取中的整数溢出导致缓冲区溢出

CVE-2025-0684 – ReiserFS 符号链接处理中的整数溢出导致缓冲区溢出

CVE-2025-0685 – JFS 符号链接处理中的整数溢出导致缓冲区溢出

CVE-2025-0686 – RomFS 符号链接处理中的整数溢出导致缓冲区溢出

CVE-2025-0689 – UDF 块处理中的越界读取

CVE-2025-0690 – 有符号整数溢出和读取命令中的越界写入（键盘输入处理程序）

CVE-2025-1118 – dump 命令允许任意内存读取（应在生产中禁用）

CVE-2025-1125 – HFS 压缩文件打开中的整数溢出导致缓冲区溢出

除 CVE-2025-0678 被评为“高”（CVSS v3.1 分数：7.8）外，上述所有漏洞均被评为中等严重性。

微软表示，Security Copilot 大大加快了 GRUB2 等大型复杂代码库中的漏洞发现过程，节省了手动分析所需的大约 1 周时间。

Copilot 发现缺陷并提出修复建议

该人工智能工具不仅可以识别以前未被发现的缺陷，还可以提供有针对性的缓解建议，这些建议可以提供指示并加速安全补丁的发布，特别是在由志愿者贡献者和小型核心团队支持的开源项目中。

微软表示，利用分析结果，Security Copilot 在使用与 GRUB2 共享代码的项目中发现了类似的错误，例如 U-boot 和 Barebox。

GRUB2、U-boot 和 Barebox 于 2025 年 2 月发布了针对这些漏洞的安全更新，因此更新到最新版本应该可以减轻这些漏洞的影响。