פגם בהרצת קוד בקושחת UEFI משפיע על רוב השרתים

פגם קריטי בהרצת קוד ב-TianoCore EDK II, בסיס הקוד הפתוח שמאחורי חלק ניכר מקושחת האתחול UEFI, נחשף בפומבי לפני חשיפה מתואמת שתוכננה לינואר. הפגם, המזוהה כ-CVE-2026-97631 ומדורג 9.5 מתוך 10, משפיע על קושחה שבה משתמשים רוב יצרניות השרתים ומרכזי הנתונים בעולם, אך רק ארגונים שמכונותיהם מאתחלות מרשת חשופים לו.

שחיתות זיכרון במהלך אתחול PXE

CVE-2026-97631 הוא הצפת מאגר (buffer overflow) בת 16 שנה במנהל ההתקן PXE-Base Code (NetworkPkg/UefiPxeBcDxe), שמאפשר לשרתים, להתקני אחסון ולמכשירים אחרים לאתחל באמצעות קוד שמורד מרשת מקומית. במהלך אתחול PXE, מנהל ההתקן מחזיק בקשת קבלה פתוחה להודעות שגיאה של ICMP ומעתיק כל הודעה לשדה Mode.IcmpError, שגודלו הקבוע 504 בייט. טיפול ההעתקה שגוי גם במטפל IPv4 וגם במטפל IPv6, ולכן הודעה גדולה מדי עלולה לכתוב בייטים בשליטת התוקף מעבר לגבול השדה. גורם פנימי זדוני או האקר עם גישה ברמה נמוכה לרשת מקומית יכול לשלוח הודעת שגיאה כזו במהלך רצף אתחול PXE ולשבש את מודול ה-UEFI שרץ על המעבד. הקוד רץ בטבעת 0 (ring 0), לפני שמערכת ההפעלה נטענת ולפני שהקושחה אוכפת הגנות כמו Secure Boot ושרשרת האמון שהיא מקימה לכל קוד שנטען במהלך האתחול, כולל ה-TPM.

החשיפה הקדימה את המועד

את הפגם גילו אלכס מטרוסוב מ-Anthropic ודן הולמס מ-Google, שסיכמו להחזיק בו בסוד עד לחשיפה המתואמת שתוכננה לינואר. AMI פרסמה בחודש שעבר בקשת משיכה (pull request) שפירטה את הפגם וכללה תיקון קוד, וחברי פרויקט TianoCore פרסמו בשבוע שעבר התראה פומבית לאחר שהפרסום הגיע לידיעת המגלים. מכיוון שקוד התיקון זמין לציבור, יהיה קל להאקרים מתקדמים ללמוד כיצד הפגם מופעל ולבנות אקספלויטים עובדים. למטענים שהפגם מספק אין התמדה, כלומר הם פועלים פעם אחת בלבד, אך הם יכולים לפתוח את הדרך למטענים אחרים שפועלים בכל אתחול בשלב מוקדם.

מי מושפע

כמעט כל ספקיות UEFI, ובהן AMI, Insyde ו-Phoenix, משתמשות בהרחבה בקוד הייחוס של EDK2, וגם Project Mu, הפיצול המוקשח של EDK2 מבית Microsoft, השתמש בקוד שהכיל את הרכיב הפגיע. הפגם אינו משפיע על משתמשים ביתיים ועל משרדים קטנים, או על מי שמאתחל אך ורק מכוננים. הוא חל רק על ארגונים שמכונותיהם מאתחלות מרשתות מקומיות, או אולי ממשאבים המחוברים לאינטרנט, וגם אז רק כאשר הקושחה נשענת על EDK2 ומשתמשת בפונקציונליות PXE, שמופעלת כברירת מחדל. שליטה כלשהי ברשת מקומית היא תנאי מוקדם, מה שככל הנראה מגביל את הניצול לגורמים פנימיים או לתוקפים כמו מדינות או מפעילי כופרה שהשיגו גישה ברמה נמוכה ומבקשים להעלות הרשאות. אין עדיין ראיות לכך ש-CVE-2026-97631 מספק נקודת כניסה ראשונית לרשת. ג'סי מייקל, חוקר ראשי בחברת אבטחת הקושחה Eclypsium, אמר שתוקף צריך לנחש כתובות ספציפיות בתוך המערכת המותקפת, ולכן יש להתאים את האקספלויט לכל דגם, גרסה ותצורה בנפרד, ולא להריץ אקספלויט אחד נגד מגוון מכשירים. אינטל מסרה שאף אחד מהמוצרים המסחריים שלה הנמצאים כיום בתמיכת אבטחה אינו ידוע כפגיע, ושהיא אינה כוללת את פונקציונליות EDK2 הפגיעה בקוד הייחוס שלה, ואילו Arm מסרה שהבעיה אינה חלה ישירות על תיק המוצרים שלה. עם זאת, קוד הייחוס של אינטל הזמין לציבור מפנה ל-EDK2, וגם הקושחה ש-Arm מספקת נשענת עליו במידה רבה, ולכן אף שייתכן שחלק מהפלטפורמות נקיות מקוד EDK2, ראוי שמשתמשי כל השרתים יבדקו אם CVE-2026-97631 משפיע עליהם. AMD, Phoenix Technologies, AMI, Microsoft ו-Amazon לא השיבו לשאלות לפני הפרסום.

מה המגינים יכולים לעשות

הנפגעים צריכים לפנות ליצרן הקושחה שממנה מאתחלות המערכות שלהם ולבקש הנחיות. אם אפשר, כדאי לשקול כיבוי של יכולות האתחול מהרשת, לפחות באופן זמני. בתצורות קושחה כדאי להפעיל תכונות אבטחה כמו TPM ו-Secure Boot בכל הזדמנות, אף שהגנות אלו אינן מגנות מפני האיום הזה. מומלץ גם לעקוב אחר יומנים לאיתור סימנים לניסיונות ניצול. HD Moore, יוצר Metasploit ומנהל המחקר הראשי ב-Dragos, אמר שתוקף שמבקש לפגוע בקצה או בשרת סמוכים, ושבידיו גישה לרשת לזמן קצר, יכול להשתמש בבאג כדי לחטוף את זרימת התוכנית בזמן שתהליך האתחול עדיין ניגש לרכיבים רגישים כמו ה-TPM, ובכך לשבור את הצפנת הדיסק.

מקורות: Ars Technica