Kritinė kodo vykdymo spraga UEFI programinėje įrangoje kelia grėsmę pasauliniams serveriams

Vaizdas: Ars Technica · Šaltinis

TianoCore EDK II UEFI programinėje įrangoje, kurią naudoja dauguma serverių, rastas pavojingas pažeidžiamumas, leidžiantis ankstyvoje įkrovos stadijoje vykdyti kodą, kas kelia pavojų saugumo mechanizmų Secure Boot aktyvacijai.

Buvo aptiktas kritinis saugumo pažeidžiamumas, žymimas kaip CVE-2026-97631, TianoCore EDK II – atviro kodo UEFI programinės įrangos implementacijoje, plačiai naudojamoje serveriuose visame pasaulyje. Ši atminties pažeidžiamumo klaida PXE-Base Code tvarkyklės ICMP komponente leidžia piktavaliams vykdyti kenkėjišką kodą ankstyvoje įkrovos proceso stadijoje, dar prieš aktyvuojant apsaugos mechanizmus, tokius kaip Secure Boot ir Trusted Platform Module (TPM), kurie užtikrina sistemos vientisumą.

Ši spraga kyla iš 16 metų senumo buferinio perpildymo NetworkPkg\UefiPxeBcDxe modulyje, kuris apdoroja ICMP klaidų pranešimus tinklo įkrovos (PXE) metu. Konkretus trūkumas yra nepaisomas 504 baitų ribos kopijuojant ICMP klaidų duomenis, leidžiant kruopščiai paruoštoms žinutėms perrašyti atmintį ir perimti CPU vykdymą 0 privilegijų lygmenyje. Tai suteikia galimybę užpuolikams, turintiems prieigą prie tinklo – dažnai vidaus darbuotojams arba pažengusiems priešams, valdančiems vietinius tinklus – įsiplūsti ir vykdyti kenkėjišką kodą sistemos paleidimo metu.

Pažeidžiamumą atrado Anthropic atstovas Alex Matrosov ir Google atstovas Dan Holmes. Jis turėjo būti viešai paskelbtas koordinuotai 2027 m. sausį, tačiau ankstyvas programinės įrangos gamintojo AMI atskleidimas paskatino viešą perspėjimą. Kadangi pataisos šaltinis leidžia lengvai sukurti išnaudojimo kodą, daugybė serverių ir debesų įrenginių yra itin pažeidžiami. Pataisos įdiegimas sudėtingas dėl plataus diegimo bazės, įvairių aparatūros gamintojų ir būtinybės atnaujinti programinę įrangą.

Saugumo ekspertai pažymi, kad ši spraga pažeidžia ankstyvąją įkrovos grandinę, leisdama užpuolikams apeiti programinės įrangos patikrinimą ir galbūt sulaužyti disko šifravimą, ypač esant trumpalaikei tinklo prieigai ar įrenginio vagystei. Problema yra ypač pavojinga, nes tai įvyksta dar prieš visišką operacinės sistemos ir saugaus programinės įrangos komponentų veikimą.

Skirtingai nuo kitų garsesnių UEFI spragų, tokių kaip LogoFail ar BootHole, šis pažeidžiamumas gali būti pašalintas pataisius kodą be sudėtingos Secure Boot raktų valdymo arba operacinės sistemos atnaujinimų. Tačiau būtinybė platinti BIOS/UEFI programinės įrangos atnaujinimus daugeliui įrenginių išlieka logistine kliūtimi.

Ši pažeidžiamybė pirmiausia paveikia serverius ir įmonių įrangą, naudojančią tinklo įkrovą su EDK II programine įranga. Ji neturi poveikio įprastiems namų ar mažų biurų vartotojams, kurie kraunasi tik iš vietinių diskų. Tokie didieji gamintojai kaip Intel ir Arm teigia, kad jų dabartiniai palaikomi komerciniai produktai tiesiogiai nėra pažeidžiami, nors komponentai, integruojantys EDK II, gali kelti riziką. Kitų svarbių suinteresuotų organizacijų prašymai komentaruose liko be atsakymo.

Dėl didelio pažeidžiamumo svarbumo ir plačiai paplitusios EDK II naudojimo, organizacijoms, valdančioms serverius su tinklo įkrova, rekomenduojama patikrinti programinės įrangos versijas, laikytis gamintojų nurodymų ir apsvarstyti tinklo įkrovos laikiną išjungimą kaip atsargumo priemonę. Svarbu išlaikyti įjungtas saugumo funkcijas, tokias kaip TPM ir Secure Boot, nors jos pilnai nesumažina šios grėsmės. Rekomenduojama stebėti galimus išnaudojimo bandymus per žurnalus.

Ši spraga pabrėžia nuolatines rizikas, susijusias su esminėmis programinės įrangos sąsajomis, kurios yra kritiškai svarbios pasaulinei IT infrastruktūros saugai. Tai priminimas apie sudėtingumą ir iššūkius užtikrinant ankstyvosios įkrovos aplinkų saugumą kintančioje grėsmių aplinkoje.