Tähtis koodikäivituse haavatavus UEFI püsivaras ohustab ülemaailmseid servereid

Pilt: Ars Technica · Allikas

TianoCore EDK II UEFI püsivaras leitud tõsine viga võimaldab käivituse varajases etapis koodi täita, ohustades turvalise käivituse kaitseid ja andes võimaliku ligipääsu enne nende aktiveerumist.

TianoCore EDK II-s, mis on avatud lähtekoodiga UEFI püsivara lahendus ning mida kasutatakse laialdaselt serverites üle maailma, on avastatud kriitiline turvaviga CVE-2026-97631. See mälu korruptsiooniviga PXE-Base Code draiveri ICMP komponendis võimaldab ründajatel varajases käivitusfaasis täita pahatahtlikku koodi, enne kui süsteemi terviklikkust kinnitavad kaitsed, nagu Secure Boot ja Trusted Platform Module (TPM), jõustuvad.

Viga tuleneb 16 aastat tagasi tekkinud puhvri ülevoolust NetworkPkg\UefiPxeBcDxe moodulis, mis töötleb ICMP vea teateid võrgust käivitamisel (PXE boot). Nimelt ei rakendata 504-baidist piiri ICMP veaandmete kopeerimisel, mis võimaldab hoolikalt koostatud teadetel mälu üle kirjutada ja kaaperdada CPU täitmist ring 0 privileegitasemel. See loob võimaluse võrguühendusega ründajatele – sageli siseringi liikmetele või edasijõudnud vastastele kohaliku võrgu osis kontrollides – süstida ning täita kahjulikku koodi süsteemi käivitudes.

Haavatavuse avastasid Anthropicist Alex Matrosov ja Googlest Dan Holmes. Algne avalikustamise plaan oli koordineeritud jaanuaris 2027, kuid riistvaratootja AMI varajane avalikustamine tõi kaasa avaliku hoiatuse. Kuna ekspluateerimiskoodi võib avaldatud paranduskoodi põhjal suhteliselt lihtsasti luua, suureneb ohvriteks olevate serverite ja pilveseadmete rünnakute risk. Parandamine on keeruline tänu installatsiooni ulatusele, mitmekesisele riistvaratootjate hulgale ning püsivara uuenduste vajalikkusele.

Turvaeksperdid rõhutavad, et see viga rikub varajase käivitusketi usaldusväärsust, võimaldades ründajatel mööduda püsivara autentimisest ning potentsiaalselt murda ketta krüptimist, eriti olukordades, kus on lühiajaline võrguühendus või seade varastatakse. Probleem on ohtlik, sest see toimub enne, kui operatsioonisüsteem ja turvalised püsivara komponendid on täielikult töökorras.

Erinevalt muudest tuntud UEFI vigadest nagu LogoFail või BootHole, saab seda haavatavust parandada koodi tasandil ilma Secure Boot võtmete haldamise või operatsioonisüsteemi uuendusteta. Siiski jääb BIOS/UEFI püsivara uuenduste juurutamine paljudes seadmetes logistiliseks väljakutseks.

Haavatavus mõjutab peamiselt servereid ja ettevõtte seadmeid, mis kasutavad võrgupõhist käivitust koos EDK II püsivaraga. Tavalisi kodu- või väikekontori kasutajaid, kes käivituvad ainult kohalikelt draividelt, see probleem ei mõjuta. Suured tootjad nagu Intel ja Arm kinnitavad, et nende praegused toetatud komertsseadmed ei ole otseselt mõjutatud, kuid EDK II-l põhinevad komponendid võivad riskiga kaasneda. Muude suuremate mõjutatud organisatsioonide kommentaare ei ole saadud.

Arvestades vea tõsidust ja EDK II laialdast kasutust, soovitatakse organisatsioonidel, kelle serverid toetavad võrgukäivitust, kontrollida oma püsivara versiooni, küsida tootjate juhiseid ja kaaluda võrgu käivitamise ajutist keelamist ettevaatusabinõuna. TPM ja Secure Boot funktsioonide lubamine on jätkuvalt oluline, kuigi need ei taga täielikku kaitset selle konkreetse ohuga. Soovitatakse ka logide jälgimist võimalike rünnakukatsete avastamiseks.

See haavatavus toob esile jätkuvad riskid fundamentaalsetes püsivara liidestes, mis on kriitilise tähtsusega ülemaailmse IT infrastruktuuri turvalisuse jaoks. See on meeldetuletus varajase käivitusprotsessi keskkondade kaitsmise keerukusest ja väljakutsetest küberohutuse muutuvas maastikus.