Atklāta kritiska koda izpildes ievainojamība UEFI programmaparatūrā, kas apdraud globālos serverus

Attēls: Ars Technica · Avots

TianoCore EDK II UEFI programmaparatūrā, ko izmanto lielākā daļa serveru, konstatēta nopietna kļūda, kas ļauj izpildīt kodu agrīnā starta posmā, apdraudot drošā sāknēšanas aizsardzību un riskējot ar uzbrukumiem pirms šo aizsardzību aktivizēšanās.

TianoCore EDK II – atvērtā pirmkoda UEFI programmaparatūra, plaši izmantota serveros visā pasaulē, ir atklāta kritiska drošības ievainojamība ar identifikatoru CVE-2026-97631. Šis atmiņas bojājuma defekts PXE-Base Code draivera ICMP komponentē ļauj uzbrucējiem izpildīt ļaunprātīgu kodu agrīnā sistēmas sāknēšanas procesā, pirms tādus aizsardzības mehānismus kā Secure Boot un Trusted Platform Module (TPM) darbojas un var nodrošināt sistēmas integritāti.

Ievainojamība radusies 16 gadus vecas bufera pārplūdes dēļ NetworkPkg\UefiPxeBcDxe modulī, kas apstrādā ICMP kļūdu ziņojumus tīkla sāknēšanas (PXE boot) laikā. Konkrēti, tas nepienācīgi ierobežo ICMP kļūdu datu kopēšanas apjomu līdz 504 baitiem, ļaujot rūpīgi izstrādātiem ziņojumiem pārrakstīt atmiņu un pārņemt CPU izpildi ar ring 0 līmeņa privilēģijām. Tas rada iespēju uzbrucējiem ar tīkla piekļuvi – bieži iekšējiem lietotājiem vai sarežģītiem uzbrucējiem, kas kontrolē vietējā tīkla segmentus – injicēt un izpildīt kaitīgus kodus sistēmas startēšanas laikā.

Ievainojamību atklājuši Anthropic pārstāvis Alex Matrosov un Google pārstāvis Dan Holmes. Sākotnēji bija ieplānota koorinēta publiska atklāšana 2027. gada janvārī, bet ražotāja AMI agrīna atklāšana noveda pie publiska brīdinājuma. Ņemot vērā, ka no izlabotā koda iespējams salīdzinoši vienkārši izveidot ekspluatācijas rīku, ir palielināts risks uzbrukumiem daudzām serveru un mākoņiekārtu ierīcēm. Labojuma ieviešana ir sarežģīta, jo instalētie gadījumi ir plaši, ražotāji daudzveidīgi un ir nepieciešama programmaparatūras atjaunināšana.

Drošības eksperti uzsver, ka šī ievainojamība apdraud agrīnā starta uzticamības ķēdi, ļaujot uzbrucējiem apiet programmaparatūras autentifikāciju un potenciāli pārraut diska šifrēšanu, sevišķi scenārijos ar īslaicīgu tīkla piekļuvi vai ierīces zādzību. Problēma ir īpaši bīstama, jo tā notiek pirms operētājsistēma un droši programmaparatūras komponenti ir pilnībā funkcionāli.

Atšķirībā no citiem populāriem UEFI kļūdu veidiem, piemēram, LogoFail vai BootHole, šo ievainojamību var labot ar koda izmaiņām bez nepieciešamības risināt Secure Boot atslēgu pārvaldību vai operētājsistēmas atjauninājumus. Tomēr nepieciešamība plaši īstenot BIOS/UEFI programmaparatūras atjauninājumus paliek kā praktiska problēma.

Ievainojamība galvenokārt ietekmē serverus un uzņēmumu aprīkojumu, kas izmanto tīkla sāknēšanu ar EDK II programmaparatūru. Tā neietekmē parastos mājas vai nelielu biroju lietotājus, kuri startē tikai no lokālajiem diskiem. Lielie ražotāji, piemēram, Intel un Arm, apgalvo, ka viņu pašreizējie komerciālie produkti netiek tieši ietekmēti, tomēr komponenti, kas integrē EDK II, var radīt risku. Citi lielākie skartie uzņēmumi pagaidām komentārus nav snieguši.

Ņemot vērā ievainojamības smagumu un EDK II plašo izmantošanu, organizācijām ar tīkla sāknēšanu atbalstošiem serveriem tiek ieteikts pārbaudīt savas programmaparatūras versijas, konsultēties ar piegādātājiem un kā preventīvu pasākumu apsvērt tīkla sāknēšanas īslaicīgu atslēgšanu. TPM un Secure Boot iespējošana ir svarīga, lai gan tie neaizsargā pilnībā pret šo konkrēto draudu. Tāpat ieteicama piekļuves gadījumu uzraudzība, izmantojot žurnālus.

Šī ievainojamība uzsver pastāvošos riskus pamatprogrammēšanas saskarnēs, kas ir būtiskas globālās IT infrastruktūras drošībai. Tā atgādina par sarežģījumiem un izaicinājumiem aizsargāt agrīnos sāknēšanas vides posmus, cīnoties ar pastāvīgi mainīgajiem draudiem.