Bug 59100

Summary:	После обновления grub, при включенном Secure boot, система не загружается
Product:	Sisyphus	Reporter:	Полина Пойденко <polipoki>
Component:	grub	Assignee:	Egor Ignatov <egori>
Status:	RESOLVED FIXED	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	antohami, nickel, placeholder, rider, vsu
Version:	unstable
Hardware:	x86_64
OS:	Linux

Description

Полина Пойденко 2026-05-12 15:31:50 MSK

Дистрибутив: Альт Север 11.1
Система и ядро обновлены до актуального состояния. 

После обновления grub из тестового задания (411845) при перезагрузке системы, если включен Secure boot, система не загружается.
https://packages.altlinux.org/ru/tasks/411845/

То есть: загружается меню grub, но при выборе одного из предложенных пунктов загрузки система не загружается. Заново отображается меню grub.

Если при выборе одного из пунктов меню нажать на клавишу 'e' и после f10, то выводится следующая ошибка:

ошибка: ../../grub-core/loader/efi/linux.c:grub_arch_efi_linux_boot_image:227:cannot load image

Проблема воспроизводится на конкретном ноутбуке: Dell Inspiron 13-5378
Версия биоса: 1.25.0

Comment 1

Sergey Vlasov 2026-07-10 15:22:12 MSK

На проблемном ноутбуке раньше не выполняли "mokutil --disable-validation" для отключения проверок Secure Boot на уровне shim?  Состояние этого режима видно в файле /sys/firmware/efi/mok-variables/MokSBStateRT (если --disable-validation не использовали, этот файл будет отсутствовать или содержать нулевой байт, если использовали — там будет байт со значением 0x01).

В релизе grub-2.14 обработка режима "mokutil --disable-validation" сломана (при попытке загрузки выдаётся именно такая ошибка, как указано здесь); в текущей разрабатываемой ветке якобы есть фикс:
https://gitlab.freedesktop.org/gnu-grub/grub/-/commit/089d0567cee02464268cfc1c29830ab12dd17e68

Comment 2

Egor Ignatov 2026-07-10 17:35:34 MSK

(In reply to Sergey Vlasov from comment #1)
> На проблемном ноутбуке раньше не выполняли "mokutil --disable-validation"
> для отключения проверок Secure Boot на уровне shim?  Состояние этого режима
> видно в файле /sys/firmware/efi/mok-variables/MokSBStateRT (если
> --disable-validation не использовали, этот файл будет отсутствовать или
> содержать нулевой байт, если использовали — там будет байт со значением
> 0x01).
> 
> В релизе grub-2.14 обработка режима "mokutil --disable-validation" сломана
> (при попытке загрузки выдаётся именно такая ошибка, как указано здесь); в
> текущей разрабатываемой ветке якобы есть фикс:
> https://gitlab.freedesktop.org/gnu-grub/grub/-/commit/
> 089d0567cee02464268cfc1c29830ab12dd17e68

Да, выглядит как патч, который можно приложить независимо от того исправляет ли он текущую ошибку. На сколько мне извесно это не первый Dell ноутбук с такой проблемой, возможно какой-то баг прошибки, который приводит к такому поведению и без "mokutil --disable-validation". Спасибо :)

Также у меня было предположение что эту ошибку исправит обновление shim (будет в таске https://packages.altlinux.org/en/tasks/423289/) но оно еще не готово к p11: шим из таска в текущем состоянии работает только с новым grub >= 2.14-alt1

Comment 3

Полина Пойденко 2026-08-26 16:41:26 MSK

Добрый день.

Прошу прощения за задержку с ответом.

После обновления Альт Сервер 11.1 (с обновленным grub-2.14-alt7 и shim-signed.git=16.1-alt2) либо после чистой установки Альт Образования 11.2 (в образ включены обновленные пакеты) ошибка также воспроизводится, если включен Secure Boot.

> На проблемном ноутбуке раньше не выполняли "mokutil --disable-validation" для отключения проверок Secure Boot на уровне shim?
> Состояние этого режима видно в файле /sys/firmware/efi/mok-variables/MokSBStateRT (если --disable-validation не использовали,
> этот файл будет отсутствовать или содержать нулевой байт, если использовали — там будет > байт со значением 0x01).

Есть только /sys/firmware/efi/efivars/MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23, но он пустой.

[root@skitenth efi]# ls
config_table  efivars  esrt  fw_platform_size  fw_vendor  runtime  runtime-map  systab
[root@skitenth efi]# cd efivars/
[root@skitenth efivars]# ls -l MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23 
-rw-r--r-- 1 root root 5 авг 25 16:24 MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23
[root@skitenth efivars]# cat MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23 
[root@skitenth efivars]#

Comment 4

Egor Ignatov 2026-08-26 17:51:46 MSK

(In reply to Полина Пойденко from comment #3)
> Добрый день.
> 
> Прошу прощения за задержку с ответом.
> 
> После обновления Альт Сервер 11.1 (с обновленным grub-2.14-alt7 и
> shim-signed.git=16.1-alt2) либо после чистой установки Альт Образования 11.2
> (в образ включены обновленные пакеты) ошибка также воспроизводится, если
> включен Secure Boot.
> 
> > На проблемном ноутбуке раньше не выполняли "mokutil --disable-validation" для отключения проверок Secure Boot на уровне shim?
> > Состояние этого режима видно в файле /sys/firmware/efi/mok-variables/MokSBStateRT (если --disable-validation не использовали,
> > этот файл будет отсутствовать или содержать нулевой байт, если использовали — там будет > байт со значением 0x01).
> 
> Есть только
> /sys/firmware/efi/efivars/MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23,
> но он пустой.
> 
> [root@skitenth efi]# ls
> config_table  efivars  esrt  fw_platform_size  fw_vendor  runtime 
> runtime-map  systab
> [root@skitenth efi]# cd efivars/
> [root@skitenth efivars]# ls -l
> MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23 
> -rw-r--r-- 1 root root 5 авг 25 16:24
> MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23
> [root@skitenth efivars]# cat
> MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23 
> [root@skitenth efivars]#

Нужно хотя бы `cat -A MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23`, а лучше `hexdump -C MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23`.

---
Подготовил таск[1] с коммитом из comment #1, но он пока не подписан, постараюсь в ближайшее время проверить что он не ломает установку и отправить в сизиф.

[1] https://packages.altlinux.org/en/tasks/430653/

Comment 5

Полина Пойденко 2026-08-26 18:10:27 MSK

[root@i3-7100u-5b9086 efivars]# cat -A /sys/firmware/efi/efivars/MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23
^F^@^@^@^A
[root@i3-7100u-5b9086 hexdump -C /sys/firmware/efi/efivars/MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23
00000000  06 00 00 00 01                                    |.....|
00000005
[root@i3-7100u-5b9086 efivars]# 
[root@i3-7100u-5b9086 efivars]# cat -A /sys/firmware/efi/mok-variables/MokSBStateRT
^A
[root@i3-7100u-5b9086 efivars]# 
[root@i3-7100u-5b9086 efivars]# hexdump -C /sys/firmware/efi/mok-variables/MokSBStateRT 
00000000  01                                                |.|
00000001
[root@i3-7100u-5b9086 efivars]#

Comment 6

Egor Ignatov 2026-08-26 18:19:30 MSK

(In reply to Полина Пойденко from comment #5)
> [root@i3-7100u-5b9086 efivars]# cat -A
> /sys/firmware/efi/efivars/MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23
> ^F^@^@^@^A
> [root@i3-7100u-5b9086 hexdump -C
> /sys/firmware/efi/efivars/MokSBStateRT-605dab50-e046-4300-abb6-3dd810dd8b23
> 00000000  06 00 00 00 01                                    |.....|
> 00000005
> [root@i3-7100u-5b9086 efivars]# 
> [root@i3-7100u-5b9086 efivars]# cat -A
> /sys/firmware/efi/mok-variables/MokSBStateRT
> ^A
> [root@i3-7100u-5b9086 efivars]# 
> [root@i3-7100u-5b9086 efivars]# hexdump -C
> /sys/firmware/efi/mok-variables/MokSBStateRT 
> 00000000  01                                                |.|
> 00000001
> [root@i3-7100u-5b9086 efivars]#

Как видно, занчение переменной - 01, значит проверка подписей в shim отключена. Скорее всего действительно ошибка как описано в comment #1, и она должна исправляться в https://gitlab.freedesktop.org/gnu-grub/grub/-/commit/089d0567cee02464268cfc1c29830ab12dd17e68

Comment 7

Egor Ignatov 2026-08-26 18:20:50 MSK

Или можно включить проверку подписи выполнив от root пользователя команду:
```
mokutil --enable-validation
```
И далее следуя всем инструкциям.

Comment 8

Repository Robot 2026-08-27 20:16:14 MSK

grub-2.14-alt8 -> sisyphus:

Mon Aug 24 2026 Egor Ignatov <egori@altlinux> 2.14-alt8
- fix ESP partition number detection (closes: #59896)
- backport upstream fix for "cannot load image" error (closes: #59100)