Kriittinen koodin suorituskyvyn haavoittuvuus löydetty UEFI-firmiksessä, uhkana maailmanlaajuisille palvelimille

Kuva: Ars Technica · Lähde

Vakava haavoittuvuus TianoCore EDK II UEFI-firmiksessä, jota useimmat palvelimet käyttävät, sallii alustavan koodin suorituksen vaarantaen järjestelmän ennen Secure Boot -suojamekanismien aktivoitumista.

Merkittävä turvallisuuspuute, tunnistetulla tunnuksella CVE-2026-97631, on löydetty TianoCore EDK II:sta, avoimen lähdekoodin UEFI-firmiksestä, jota laajalti käytetään palvelimissa ympäri maailmaa. Tämä muistikorruptio-ongelma PXE-Base Code -ajurin ICMP-komponentissa mahdollistaa hyökkääjien suorittaa haitallista koodia käynnistysprosessin alkuvaiheessa, ennen kuin suojamekanismit kuten Secure Boot ja Trusted Platform Module (TPM) pystyvät varmistamaan järjestelmän eheyden.

Haavoittuvuus johtuu 16 vuotta vanhasta puskurin ylivuodosta NetworkPkg\UefiPxeBcDxe-moduulissa, joka käsittelee ICMP-virheviestejä verkkokäynnistyksen (PXE) aikana. Konkreettisesti se ei rajoita 504 tavun pituutta kopioidessa ICMP-virhetietoja, mikä antaa tarkkaan muotoilluille viesteille mahdollisuuden ylikirjoittaa muistia ja kaapata suorittimen hallinnan ring 0 -korkealla etuoikeustasolla. Tämä avaa hyökkääjille, jotka pääsevät verkkoon käsiksi – usein sisäpiiriläisille tai edistyneille toimijoille, jotka hallitsevat paikallisverkkojen osia – mahdollisuuden injektoida ja suorittaa hyökkäyspaketteja järjestelmän käynnistyksen aikana.

Haavoittuvuuden löysivät Anthropicin Alex Matrosov ja Googlen Dan Holmes. Sen julkistaminen oli alun perin aikataulutettu koordinoidusti tammikuulle 2027, mutta laitevalmistaja AMI paljasti tiedon etukäteen, mikä johti julkiseen varoitukseen. Julkaistusta korjauksesta saattaa olla helppo kehittää hyökkäyskoodi, joten lukuisat palvelimet ja pilvilaitteet ovat korostetusti vaarassa. Korjausten käyttöönotto on haastavaa laajan käyttäjäkunnan, moninaisten laitevalmistajien ja firmware-päivitysten tarpeen vuoksi.

Turvallisuusasiantuntijat korostavat, että tämä haavoittuvuus heikentää alustavan käynnistysketjun luottamusta, mahdollistaen hyökkääjien ohittaa firmware-vahvistukset ja jopa murtaa levyn salauksen, erityisesti tilanteissa, joissa verkon pääsy on lyhytaikaista tai laite joutuu vääriin käsiin. Ongelma on erityisen vakava, koska se tapahtuu ennen kuin käyttöjärjestelmä ja turvalliset firmware-komponentit ovat täysin toiminnassa.

Toisin kuin muut tunnetut UEFI-haavoittuvuudet, kuten LogoFail tai BootHole, tämä haavoittuvuus voidaan korjata koodimuutoksella ilman tarpeita Secure Boot -avainten hallinnan tai käyttöjärjestelmäpäivitysten käsittelyyn. Kuitenkin BIOS/UEFI-firmwarepäivitysten laaja käyttöönotto useissa laitteissa on yhä merkittävä logistinen haaste.

Haavoittuvuus vaikuttaa pääasiassa palvelimiin ja yrityslaitteisiin, joissa käytetään verkkokäynnistystä EDK II -firmwaren kanssa. Se ei vaikuta tavallisiin koti- tai pienyrityskäyttäjiin, jotka käynnistävät järjestelmänsä paikallisilta levyiltä. Suuret valmistajat kuten Intel ja Arm toteavat, ettei heidän tällä hetkellä tuetuissa kaupallisissa tuotteissaan ole suoraa vaikutusta, mutta EDK II:ta sisältävät komponentit voivat sisältää riskejä. Muiden merkittävien asianosaisten vastausta ei ole saatu.

Haavoittuvuuden vakavuuden ja laajan EDK II -viitteellisen toteutuksen vuoksi, organisaatioita, jotka operoivat verkkokäynnistäviä palvelimia, kehotetaan tarkistamaan firmware-versionumeroitaan, hakemaan valmistajien ohjeita ja harkitsemaan verkkokäynnistyksen tilapäistä poistamista käytöstä varotoimenpiteenä. Turvallisuusominaisuuksien, kuten TPM:n ja Secure Bootin, ylläpitäminen on tärkeää, vaikkakaan ne eivät täysin poista tätä uhkaa. Hyökkäysyritysten monitorointia lokitietojen avulla suositellaan.

Tämä haavoittuvuus alleviivaa jatkuvia riskejä perusfirmware-rajapinnoissa, jotka ovat kriittisiä globaalille IT-infrastruktuurin turvallisuudelle. Se muistuttaa epävakaan uhkakentän keskellä varhaisen käynnistysympäristön suojaamisen monimutkaisuudesta ja haasteista.