UEFI proqram təminatındakı kod icrası boşluğu əksər serverlərə təsir edir

TianoCore EDK II-də, UEFI yüklənmə mikroproqramının (firmware) böyük hissəsinin əsasını təşkil edən açıq mənbə kod bazasında kritik kod icrası zəifliyi yanvar üçün planlaşdırılmış koordinasiyalı ifşadan əvvəl ictimaiyyətə açıqlanıb. CVE-2026-97631 kimi izlənir və 10 üzərindən 9,5 qiymətləndirilir; o, dünyada server istehsalçılarının və data mərkəzlərinin əksəriyyətinin istifadə etdiyi yüklənmə mikroproqramına təsir edir, lakin yalnız maşınları şəbəkədən yüklənən təşkilatlar risk altındadır.

PXE yüklənməsi zamanı yaddaş pozuntusu

CVE-2026-97631, serverlərə, yaddaş cihazlarına və digər cihazlara lokal şəbəkədən endirilən kodla yüklənməyə imkan verən PXE-Base Code sürücüsündə (NetworkPkg/UefiPxeBcDxe) 16 yaşlı bufer daşmasıdır. Həmin əvvəlcədən icra mühiti yüklənməsi zamanı sürücü ICMP xəta mesajları üçün qəbul sorğusunu açıq saxlayır və hər mesajı sabit 504 baytlıq Mode.IcmpError sahəsinə köçürür. Köçürmə emalı həm IPv4, həm IPv6 emalçılarında səhvdir, ona görə həddən artıq böyük mesaj sahədən kənara, hücumçunun nəzarət etdiyi baytları yaza bilər. Zərərli daxili şəxs və ya lokal şəbəkəyə aşağı səviyyəli giriş əldə etmiş haker PXE yüklənmə ardıcıllığı zamanı belə xəta mesajı göndərərək CPU-da işləyən UEFI modulunu poza bilər. Kod əməliyyat sistemi yüklənməmişdən və mikroproqram Secure Boot və onun yüklənmə zamanı yüklənən bütün kodlar, o cümlədən TPM üçün qurduğu etimad zənciri kimi müdafiələri tətbiq etməmişdən əvvəl ring 0 səviyyəsində işləyir.

Erkən ifşa

Zəifliyi Anthropic-dən Alex Matrosov və Google-dan Dan Holmes aşkar ediblər; onlar yanvar üçün planlaşdırılmış koordinasiyalı ifşaya qədər onu gizli saxlamağı razılaşdırmışdılar. AMI keçən ay zəifliyi ətraflı təsvir edən və kod düzəlişini əhatə edən pull request dərc etdi, TianoCore Project üzvləri isə həmin yazı aşkarçıların diqqətinə çatdıqdan sonra keçən həftə ictimai məsləhət dərc etdilər. Düzəliş kodu ictimaiyyətə açıq olduğundan qabaqcıl hakerlər üçün boşluğun necə işə salındığını öyrənmək və işləyən istismarlar qurmaq asan olacaq. Zəifliyin çatdırdığı son yüklər davamlılığa malik deyil, yəni yalnız bir dəfə işləyir, lakin hər yüklənmənin əvvəlində işləyən digər yüklərə yol aça bilərlər.

Kimlər təsirlənir

Demək olar ki, bütün UEFI təchizatçıları, o cümlədən AMI, Insyde və Phoenix, EDK2 istinad kodundan geniş istifadə edir; Microsoft-un sərtləşdirilmiş EDK2 çəngəli olan Project Mu da zəif komponenti ehtiva edən kodu istifadə edib. Zəiflik ev və kiçik ofis istifadəçilərinə, yaxud yalnız disk sürücülərindən yüklənənlərə təsir etmir. O, yalnız maşınları lokal şəbəkələrdən və ya ehtimal ki, internetə qoşulu mənbələrdən yüklənən və mikroproqramı EDK2-yə söykənib susmaya görə aktiv olan PXE funksiyasından istifadə edən təşkilatlara aiddir. Lokal şəbəkə üzərində müəyyən nəzarət ilkin şərtdir; bu, çox güman ki, istismarı daxili şəxslərlə və ya aşağı səviyyəli giriş əldə edib sistem hüquqlarını yüksəltmək istəyən dövlət qruplaşmaları və ya fidye proqramı operatorları kimi hücumçularla məhdudlaşdırır. CVE-2026-97631-in şəbəkəyə ilkin giriş nöqtəsi təmin etdiyinə dair hələ heç bir sübut yoxdur. Mikroproqram təhlükəsizliyi şirkəti Eclypsium-un baş tədqiqatçısı Jesse Michael bildirib ki, hücumçu hədəf sistem daxilində konkret ünvanları təxmin etməlidir, ona görə istismar müxtəlif cihazlarda işləmək əvəzinə hər model, versiya və konfiqurasiya üçün ayrıca uyğunlaşdırılmalıdır. Intel bildirib ki, onun təhlükəsizlik dəstəyi altında olan kommersiya məhsullarından heç birinin təsirləndiyi məlum deyil və o, zəif EDK2 funksionallığını istinad koduna daxil etmir; Arm isə məsələnin onun məhsul portfelinə birbaşa tətbiq olunmadığını deyib. Lakin ictimaiyyətə açıq Intel istinad kodu EDK2-yə istinad edir və Arm-ın təqdim etdiyi mikroproqram da böyük ölçüdə EDK2-yə söykənir, ona görə bəzi platformalar EDK2 kodundan azad ola bilsə də, bütün server istifadəçiləri üçün CVE-2026-97631-in onlara təsir edib-etmədiyini araşdırmaq məqsədəuyğundur. AMD, Phoenix Technologies, AMI, Microsoft və Amazon nəşrdən əvvəl suallara cavab verməyib.

Müdafiəçilər nə edə bilər

Təsirlənənlər sistemlərini yükləmək üçün istifadə olunan mikroproqramın istehsalçısı ilə əlaqə saxlamalı və təlimat istəməlidirlər. Mümkünsə, şəbəkə yüklənmə imkanlarını ən azı müvəqqəti olaraq söndürməyi nəzərdən keçirməlidirlər. Mikroproqram konfiqurasiyalarında mümkün olduqda TPM və Secure Boot kimi təhlükəsizlik funksiyaları aktiv edilməlidir, baxmayaraq ki, bu müdafiələr bu konkret təhdiddən qorumur. İstismar cəhdlərinin əlamətləri üçün jurnalları izləmək də yaxşı fikirdir. Metasploit-in yaradıcısı və Dragos şirkətinin baş tədqiqat rəhbəri HD Moore bildirib ki, yaxınlıqdakı son nöqtəni və ya serveri ələ keçirmək niyyətində olan və qısamüddətli şəbəkə girişinə malik hücumçu bu səhvdən yüklənmə prosesi hələ TPM kimi həssas komponentlərə girişə malik olarkən proqram axınını ələ keçirmək üçün istifadə edə bilər və bu, potensial olaraq disk şifrələməsini poza bilər.

Mənbələr: Ars Technica