خلل تنفيذ أكواد في firmware UEFI يؤثر على معظم الخوادم

تم الإفصاح علناً عن ثغرة حرجة لتنفيذ الأكواد في TianoCore EDK II، قاعدة الأكواد مفتوحة المصدر التي يقوم عليها قدر كبير من برامج UEFI الثابتة للتمهيد، قبل إفصاح منسق كان مقرراً في يناير. الثغرة، المتعقبة باسم CVE-2026-97631 والمقيَّمة بـ 9.5 من 10، تؤثر على البرامج الثابتة التي تستخدمها معظم مصنّعي الخوادم ومراكز البيانات في العالم، لكن لا تتعرّض لها إلا المؤسسات التي تُقلع أجهزتها من شبكة.

فساد الذاكرة أثناء التمهيد عبر PXE

CVE-2026-97631 هي تجاوز سعة مخزن (buffer overflow) عمره 16 عاماً في مشغّل PXE-Base Code (NetworkPkg/UefiPxeBcDxe)، وهو المسؤول عن تمكين الخوادم وأجهزة التخزين وغيرها من الأجهزة من الإقلاع باستخدام أكواد تُنزَّل من شبكة محلية. وأثناء هذا التمهيد من بيئة ما قبل التنفيذ، يُبقي المشغّل طلب استقبال مفتوحاً لرسائل خطأ ICMP وينسخ كل رسالة إلى حقل Mode.IcmpError الثابت البالغ 504 بايت. معالجة النسخ غير صحيحة في كل من معالجَي IPv4 وIPv6، لذا يمكن لرسالة أكبر من الحجم المحدد أن تكتب بايتات يتحكم فيها المهاجم بعد نهاية الحقل. ويمكن لموظف داخلي خبيث أو لمخترق يملك وصولاً منخفض المستوى إلى شبكة محلية أن يرسل رسالة خطأ من هذا النوع أثناء تسلسل تمهيد PXE، فيُفسد وحدة UEFI العاملة على المعالج. ويعمل الكود في الحلقة 0 (ring 0)، قبل إقلاع نظام التشغيل وقبل أن تفرض البرامج الثابتة دفاعات مثل Secure Boot وسلسلة الثقة التي تنشئها لكل كود يُحمَّل أثناء الإقلاع، بما في ذلك TPM.

الإفصاح سبق موعده

اكتشف الثغرة أليكس ماتروسوف من Anthropic ودان هولمز من Google، وكانا قد رتّبا إبقاءها طي الكتمان حتى الإفصاح المنسق المقرر في يناير. ونشرت AMI الشهر الماضي طلب سحب (pull request) فصّل الثغرة وتضمّن إصلاحاً برمجياً، ونشر أعضاء مشروع TianoCore الأسبوع الماضي استشارة علنية بعد أن لفت المنشور انتباه المكتشفين. وبما أن كود الإصلاح متاح للعموم، فسيكون من السهل على المخترقين المتقدمين معرفة كيفية تفعيل الثغرة وبناء استغلالات عاملة. ولا تتمتع الحمولات النهائية التي توصلها الثغرة بالاستمرارية، أي أنها تعمل مرة واحدة فقط، لكنها قد تفتح الطريق لحمولات أخرى تعمل أيضاً في وقت مبكر من كل عملية إقلاع.

من يتأثر

يستخدم جميع موردي UEFI تقريباً، بمن فيهم AMI وInsyde وPhoenix، كود المرجع EDK2 على نطاق واسع، كما استخدم Project Mu، وهو فرع EDK2 المحصّن من Microsoft، كوداً يحتوي على المكوّن القابل للاستغلال. ولا تؤثر الثغرة في المستخدمين المنزليين وأصحاب المكاتب الصغيرة، ولا في أي مستخدم يُقلع أجهزته من محركات الأقراص فقط. وهي تنطبق فقط على المؤسسات التي تُقلع أجهزتها من شبكات محلية، أو ربما من موارد متصلة بالإنترنت، وحتى ذلك الحين لا تنطبق إلا عندما تعتمد البرامج الثابتة على EDK2 وتستخدم وظيفة PXE المفعّلة افتراضياً. ويُعدّ وجود قدر من التحكم في الشبكة المحلية شرطاً مسبقاً، وهو ما يرجّح أن يحصر الاستغلال في الأشخاص الداخليين أو في مهاجمين مثل الدول أو مشغّلي برامج الفدية الذين تمكنوا من الحصول على وصول منخفض المستوى ويسعون إلى رفع صلاحيات النظام. ولا توجد حتى الآن أدلة على أن CVE-2026-97631 يوفر نقطة دخول أولية إلى الشبكة. وقال جيسي مايكل، الباحث الرئيسي في شركة أمن البرامج الثابتة Eclypsium، إن على المهاجم تخمين عناوين محددة داخل النظام المستهدف، لذا يجب ضبط الاستغلال لكل طراز وإصدار وتكوين على حدة بدلاً من استخدام استغلال واحد ضد مجموعة متنوعة من الأجهزة. وقالت Intel إن أياً من منتجاتها التجارية الخاضعة حالياً لدعم الأمن لا يُعرف بأنه متأثر، وإنها لا تُضمّن وظيفة EDK2 القابلة للاستغلال في كود المرجع الخاص بها، بينما قالت Arm إن المشكلة لا تنطبق مباشرة على مجموعة منتجاتها. غير أن كود المرجع المتاح علناً من Intel يشير إلى EDK2، كما أن البرامج الثابتة التي توفرها Arm تعتمد عليه اعتماداً كبيراً، لذا فمع أنه من الممكن أن تكون بعض المنصات خالية من كود EDK2، فإنه من الحكمة أن يتحقق مستخدمو جميع الخوادم مما إذا كانت CVE-2026-97631 تؤثر فيهم. ولم تُجب AMD وPhoenix Technologies وAMI وMicrosoft وAmazon عن الأسئلة قبل النشر.

ما يمكن للمدافعين فعله

على المتأثرين مراجعة الشركة المصنّعة للبرامج الثابتة التي تُقلع بها أنظمتهم وطلب التوجيه منها. وينبغي أن ينظروا في إيقاف قدرات التمهيد من الشبكة مؤقتاً على الأقل إن أمكن. وينبغي أن تُفعّل إعدادات البرامج الثابتة ميزات الأمان مثل TPM وSecure Boot حيثما أمكن، رغم أن هذه الدفاعات لا تحمي من هذا التهديد تحديداً. ومن الجيد أيضاً مراقبة السجلات بحثاً عن علامات محاولات الاستغلال. وقال إتش دي مور، مبتكر Metasploit والمدير الأول للبحوث في Dragos، إن مهاجماً يسعى إلى اختراق طرفية أو خادم قريبين، ويملك وصولاً شبكياً قصير الأمد، يمكنه استخدام هذا الخلل لاختطاف مسار تنفيذ البرنامج بينما لا تزال عملية الإقلاع تصل إلى مكوّنات حساسة مثل TPM، وهو ما قد يكسر تشفير القرص.

المصادر: Ars Technica