Стала доступна Rufus 4.16 Beta – бета-версия утилиты для создания загрузочных USB-накопителей. Главное в выпуске – исправление уязвимостей, две из которых имеют высокий уровень опасности, и обход ошибки драйвера NTFS в прошивках AMI, которая мешала проверять загрузочные носители. Стабильной пока остается Rufus 4.15.
Rufus 4.16 Beta. Изображение: Comss.ru
Что нового в Rufus 4.16 Beta
- Добавлен обход ошибки драйвера NTFS в прошивках AMI: проверка носителя UEFI во время выполнения теперь работает на миллионах компьютеров с такими прошивками.
- Устройства USB 3.2 и новее теперь определяются правильно: USB 3.2 – 20 Гбит/с, USB 4.0 – 40 Гбит/с, USB 4.1 – 80 Гбит/с.
- Исправлено: обновленные файлы CA 2023 не учитывались при проверке носителя UEFI во время выполнения.
- Исправлено: параметр «тихой» установки Windows мог применяться, даже если не выполнены все зависимости (#3008).
- Исправлена регрессия: режим Write as ESP использовал весь накопитель вместо ожидаемого раздела размером 1 ГБ.
- В окне «Опыт использования Windows» (WUE) исправлено дублирование часового пояса для неанглийских локализаций (#3070, #2499), в именах локальных пользователей снова можно использовать точки (#3057).
- В параметр «Улучшить жизнь» (Quality of Life) окна «Опыт использования Windows» добавлено восстановление классического контекстного меню (#3007, при участии Fredolx).
- Для отключения запроса «Вы хотите отформатировать этот диск?» больше не используются групповые политики, которые постоянно приводили к проблемам (#3042).
- Улучшено монтирование и повторное монтирование разделов образов RAW (#3002, при участии Jared Hagel).
- Встроенный GRUB обновлен до версии 2.16.
- Библиотека libcdio обновлена до последней версии.
- Обновлены официальные адреса DBX: Microsoft их изменила.
- Устранено несколько уязвимостей (при участии indep-arg, andife, Adam Korczynski и SilentSobs).
Параметр «Улучшить жизнь» возвращает классическое контекстное меню в стиле Windows 10, где все команды показаны сразу, без пункта «Показать дополнительные параметры».
Окно «Опыт использования Windows» с параметром «Улучшить жизнь». Изображение: Comss.ru
Одновременно Microsoft внедряет переработанное контекстное меню «Проводника»: лишние пункты убраны, команды сторонних приложений перенесены в подменю «Расширения приложений», а на отдельной странице параметров можно выбрать, какие действия показывать.
Уязвимости
Подробные бюллетени опубликованы для трех уязвимостей. Исправления вошли в версию 4.16, идентификаторы CVE в бюллетенях не указаны.
- GHSA-hhx4-pjqh-499x, высокий уровень опасности (CVSS 7,3). Rufus сохраняет загруженные файлы загрузчиков Syslinux, GRUB и Grub4DOS в папке %LocalAppData%\Rufus\ и при следующих запусках использовал их без проверки хеша или подписи. Локальный злоумышленник с правом записи в эту папку мог подменить файлы. Тогда вредоносный код попадал на USB-накопитель и выполнялся при загрузке с него, до запуска операционной системы. Затронуты версии до 4.15 включительно.
- GHSA-hrxr-p5wv-qxm2, высокий уровень опасности (CVSS 7,5). Переполнение буфера в куче при загрузке файлов из сети. Rufus выделял буфер по значению Content-Length из ответа сервера и копировал в него данные без проверки границ, причем до проверки подписи. Затронуты версии с 3.5 по 4.15.
- GHSA-6xgr-6q48-jwxr, низкий уровень опасности (CVSS 3,3). Чтение за границами буфера в куче при разборе загрузчиков UEFI. Специально подготовленный загрузчик в ISO-образе приводит к аварийному завершению Rufus при сканировании образа, еще до начала записи. Автор отчета не нашел способа выполнить код или получить данные.
В заметках к выпуску перечислены и другие исправления безопасности: #3033, #3022 и шесть записей ANT-2026.
Ошибка драйвера NTFS в прошивках AMI
Драйвер NTFS от AMI входит в прошивки UEFI таких производителей, как ASUS, Gigabyte, MSI, Dell и Intel. При чтении файла частями он мог возвращать данные из кластеров, не принадлежащих этому файлу. Из-за этого проверка контрольных сумм MD5 в среде UEFI сообщала об ошибках, хотя файлы на накопителе были целы. Проверка тех же файлов в Windows и Linux ошибок не показывала.
По словам разработчика Rufus, он сообщил об ошибке компании AMI в начале 2024 года, но исправления не последовало, поэтому обход пришлось добавить в саму программу. Подробное описание ошибки опубликовано на GitHub.
Загрузка
Rufus 4.16 Beta доступна для загрузки на нашем сайте и на странице выпуска на GitHub. Бета-версия вышла одним файлом для 64-разрядной Windows, версий для ARM64 и x86 пока нет.
