UEFI firmware'indeki kod çalıştırma açığı çoğu sunucuyu etkiliyor

TianoCore EDK II'de, birçok UEFI önyükleme belleniminin (firmware) temelini oluşturan açık kaynak kod tabanında kritik bir kod çalıştırma güvenlik açığı, Ocak ayına planlanan koordineli açıklamadan önce kamuya açıklandı. CVE-2026-97631 olarak izlenen ve 10 üzerinden 9,5 puan alan bu açık, dünyanın sunucu üreticilerinin ve veri merkezlerinin çoğunun kullandığı önyükleme bellenimini etkiliyor; ancak yalnızca makineleri bir ağdan önyükleme yapan kuruluşlar risk altında.

PXE önyüklemesi sırasında bellek bozulması

CVE-2026-97631, sunucuların, depolama cihazlarının ve diğer cihazların yerel bir ağdan indirilen kodla önyükleme yapmasını sağlayan PXE-Base Code sürücüsündeki (NetworkPkg/UefiPxeBcDxe) 16 yıllık bir tampon taşmasıdır. Bu ön çalıştırma ortamı önyüklemesi sırasında sürücü, ICMP hata mesajları için bir alım isteğini açık tutar ve her mesajı sabit 504 baytlık Mode.IcmpError alanına kopyalar. Kopyalama işleme hem IPv4 hem IPv6 işleyicilerinde hatalıdır; bu nedenle aşırı büyük bir mesaj, alanın ötesine saldırganın denetimindeki baytları yazabilir. Yerel bir ağa düşük düzey erişimi olan kötü niyetli bir iç kullanıcı veya bilgisayar korsanı, PXE önyükleme dizisi sırasında böyle bir hata mesajı gönderebilir ve CPU üzerinde çalışan UEFI modülünü bozabilir. Kod, işletim sistemi yüklenmeden ve bellenim Secure Boot ve onun önyükleme sırasında yüklenen tüm kodlar, TPM dahil, için kurduğu güven zinciri gibi savunmaları devreye almadan önce ring 0'da çalışır.

Açıklama erken geldi

Bu güvenlik açığı, Anthropic'ten Alex Matrosov ve Google'dan Dan Holmes tarafından keşfedildi; ikili, Ocak ayına planlanan koordineli açıklamaya kadar açığı gizli tutmayı kararlaştırmıştı. AMI, geçen ay güvenlik açığını ayrıntılı biçimde anlatan ve bir kod düzeltmesi içeren bir pull request yayımladı; TianoCore Project üyeleri ise gönderi keşfedenlerin dikkatini çekmesinin ardından geçen hafta kamuya açık bir danışma yayımladı. Yama kodu kamuya açık olduğundan, ileri düzey bilgisayar korsanlarının açığın nasıl tetiklendiğini öğrenmesi ve çalışan istismarlar oluşturması önemsiz bir iş olacak. Açığın ilettiği yükler kalıcılık taşımaz, yani yalnızca bir kez çalışırlar, ancak her önyüklemenin başında çalışan başka yüklerin yolunu açabilirler.

Kimler etkileniyor

Neredeyse tüm UEFI tedarikçileri, AMI, Insyde ve Phoenix dahil, EDK2 referans kodunu kapsamlı biçimde kullanıyor; Microsoft'un sertleştirilmiş EDK2 çatalı olan Project Mu da savunmasız bileşeni içeren kodu kullandı. Bu açık, ev ve küçük ofis kullanıcılarını ya da yalnızca disk sürücülerinden önyükleme yapan herkesi etkilemiyor. Yalnızca makineleri yerel ağlardan veya olasılıkla internete bağlı kaynaklardan önyükleme yapan ve bellenimi EDK2'ye dayanıp varsayılan olarak açık olan PXE işlevini kullanan kuruluşlar için geçerlidir. Yerel bir ağ üzerinde bir miktar denetim ön koşuldur; bu da istismarı büyük olasılıkla içeridekilere ya da düşük düzey erişim elde edip sistem haklarını yükseltmek isteyen ulus-devletler veya fidye yazılımı operatörleri gibi saldırganlarla sınırlar. CVE-2026-97631'in bir ağa ilk giriş noktası sağladığına dair henüz bir kanıt yok. Bellenim güvenliği şirketi Eclypsium'da baş araştırmacı olan Jesse Michael, saldırganın hedef sistem içinde belirli adresleri tahmin etmesi gerektiğini, bu nedenle istismarın çeşitli cihazlarda çalışmak yerine her model, sürüm ve yapılandırma için ayrı ayrı ayarlanması gerektiğini söyledi. Intel, güvenlik desteği kapsamındaki hiçbir ticari ürününün etkilendiğinin bilinmediğini ve savunmasız EDK2 işlevini referans koduna dahil etmediğini söyledi; Arm ise sorunun ürün portföyüne doğrudan uygulanabilir olmadığını belirtti. Ancak kamuya açık Intel referans kodu EDK2'ye atıfta bulunuyor ve Arm'ın sunduğu bellenim de büyük ölçüde EDK2'den yararlanıyor; bu nedenle bazı platformlar EDK2 kodundan yoksun olabilse de tüm sunucu kullanıcılarının CVE-2026-97631'in kendilerini etkileyip etkilemediğini araştırması ihtiyatlı olur. AMD, Phoenix Technologies, AMI, Microsoft ve Amazon yayımlamadan önce sorulara yanıt vermedi.

Savunmacılar ne yapabilir

Etkilenenler, sistemlerini önyüklemek için kullandıkları bellenimin üreticisiyle iletişime geçmeli ve rehberlik istemelidir. Mümkünse, en azından geçici olarak ağ önyükleme yeteneklerini kapatmayı düşünmelidir. Bellenim yapılandırmaları, mümkün olduğunda TPM ve Secure Boot gibi güvenlik özelliklerini etkinleştirmelidir; ancak bu savunmalar bu özel tehdide karşı koruma sağlamaz. İstismar girişimlerinin işaretlerini görmek için günlükleri izlemek de iyi bir fikirdir. Metasploit'in yaratıcısı ve Dragos'un baş araştırma görevlisi HD Moore, yakındaki bir uç noktayı veya sunucuyu ele geçirmeyi amaçlayan ve kısa süreli ağ erişimi olan bir saldırganın, önyükleme işlemi hâlâ TPM gibi hassas bileşenlere erişimi varken program akışını ele geçirmek için bu hatayı kullanabileceğini ve bunun disk şifrelemesini potansiyel olarak kırabileceğini söyledi.

Kaynaklar: Ars Technica