Стоит ли опасаться уязвимости grub_net_recv_ip4_packets (CVE-2022-28733) если загрузка по сети не используется?

Question

[YachmenevSV]

Уязвимость функции grub_net_recv_ip4_packets программы-загрузчика операционных систем Grub связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных IP-пакетов

https://bdu.fstec.ru/vul/2022-03372

Comments

[Владислав Лысков]

Да, опасайся

[hint000]

Пока CVE с этим номером не зарегистрирована официально.
Упоминается только в связи с RedHat, так что непонятно, затрагивает ли эта уязвимость grub в других дистрибутивах. Иными словами, детали уязвимости пока знает только RedHat, с другими они не делятся.
Ждите, когда появится официальное описание CVE-2022-28733.

[rPman]

формально граб не выступает в качестве сервера в сети, а использует ее если настроена загрузка ядра и image файлов по сети, например http или tftp

поэтому если у тебя это не используется, то не понятно как злоумышленник доберется до этой уязвимости, ведь переполнение это когда берется лигитимный запрос и в него подставляются неправильные размеры и значения, а у тебя запросов то нет