Názor ke zprávičce Zavaděč Shim obsahuje kritickou chybu umožňující vzdálené spuštění kódu od František Ryšánek - Na první přečtení nechápu: whoa, kritická zranitelnost, skóre...

Na první přečtení nechápu: whoa, kritická zranitelnost, skóre málem 10. Ve všech distribucích! ....jaktože všichni nepanikaří?

A koukám dál: HTTP... v bootloaderu? Jakože tam je k dispozici IP stack?

Chápu správně, že to CVE přijde do hry jenom při netbootu, a to ještě konkrétně jenom ve variantě, kdy si jakožto admin pro transport zvolím konkrétně HTTP?

To bych řekl, že mám především už předtím jiné vážnější bezpečnostní problémy :-) resp. důvěřuji jakémusi prostředí LAN, ve kterém toto páchám. Jakože... je to kritická zranitelnost, pokud dělám netboot přes HTTP se zapnutým SecureBootem - a nepřijde mi vůbec zranitelný už samotný ten netboot a širší prostředí, ve kterém se odehrává, a vůbec se mi neklepou ruce... konejšivě si hřeji na prsou zapnutý SecureBoot, ó jaký mám blažený pocit jaký jsem security správňák, ale zároveň ho sabotuji Shimem, který mi lokálně podepíše jakékoli bláto, které stáhnu nepříliš bezpečným způsobem ze sítě... a řeším tady obskurní CVE v HTTP transportu? :-)

Jednotlivých strojů, které startují z lokálního disku, se tohle přece nijak netýká. Neřekneš si při bootu o HTTP, nejsi zranitelný.

...přijde mi, že jsem opět nemístně judgemental, aniž bych úplně rozuměl věcem o kterých píšu. Jenom nějak nevidím skulinu ve svém "řetězci odvození".