Kritisk kodeutførelses-sårbarhet oppdaget i UEFI-firmware som setter globale servere i fare

Bilde: Ars Technica · Kilde

En alvorlig feil i TianoCore EDK II UEFI-firmware brukt av de fleste servere gjør det mulig å kjøre kode i et tidlig stadium, noe som risikerer brudd før Secure Boot-beskyttelser aktiveres.

En kritisk sikkerhetssårbarhet identifisert som CVE-2026-97631 er funnet i TianoCore EDK II, en open source UEFI-firmware implementering som er mye brukt i servere over hele verden. Denne minnekorrupsjonsfeilen i PXE-Base Code-driverens ICMP-komponent tillater angripere å kjøre ondsinnet kode tidlig i oppstartsprosessen, før beskyttelser som Secure Boot og Trusted Platform Module (TPM) kan etablere systemintegritet.

Feilen stammer fra en 16 år gammel buffer overflow i NetworkPkg\UefiPxeBcDxe-modulen som behandler ICMP-feilmeldinger under nettverksoppstart (PXE-boot). Spesifikt håndheves ikke en grense på 504 byte ved kopiering av ICMP-feildata, noe som tillater nøye utformede meldinger å overskrive minne og kapre CPU-utførelse på ring 0 privilegienivå. Dette gir en mulighet for angripere med nettverkstilgang—ofte innsidere eller avanserte motstandere som kontrollerer segmenter av lokale nettverk—til å injisere og kjøre last under systemstart.

Sårbarheten ble oppdaget av Alex Matrosov fra Anthropic og Dan Holmes fra Google. Den var opprinnelig planlagt for koordinert offentliggjøring i januar 2027, men en tidlig avsløring fra maskinvareprodusenten AMI førte til en offentlig advarsel. Med utnyttelseskode som potensielt er enkel å utvikle fra den utgitte patchen, øker risikoen for angrep på utallige servere og skyenheter. Oppdatering er utfordrende på grunn av stor installasjonsbase, ulike maskinvareleverandører og behov for firmwareoppdateringer.

Sikkerhetseksperter påpeker at denne feilen kompromitterer den tidlige boot-kjeden av tillit, og gjør det mulig for angripere å omgå firmwareattestasjon og potensielt bryte disk-kryptering, spesielt i situasjoner med kortvarig nettverkstilgang eller tyveri av enheter. Problemet er spesielt kritisk fordi det skjer før operativsystemet og sikre firmwarekomponenter er fullt operative.

I motsetning til andre profilerte UEFI-feil som LogoFail eller BootHole, kan denne sårbarheten rettes med en kodefiksering uten å håndtere Secure Boot-nøkkelhåndtering eller operativsystemoppdateringer. Likevel er kravet om å distribuere BIOS/UEFI-firmwareoppdateringer på mange enheter en logistisk utfordring.

Sårbarheten påvirker hovedsakelig servere og bedriftsutstyr som bruker nettverksoppstart med EDK II-firmware. Vanlige hjemmebrukere eller småkontorer som bare starter fra lokale disker påvirkes ikke. Store leverandører som Intel og Arm oppgir at deres nåværende kommersielle produkter under støtte ikke er direkte berørt, selv om komponenter som integrerer EDK II kan innebære risiko. Forespørsler til andre større berørte organisasjoner har ikke fått kommentar.

Gitt alvorligheten og utbredt bruk av EDK II-referanseimplementeringen, rådes organisasjoner som driver nettverksoppstart-aktiverte servere å verifisere firmwareversjonene sine, søke leverandørveiledning og vurdere midlertidig å deaktivere nettverksoppstart som en forhåndsregel. Det er fortsatt viktig å opprettholde sikkerhetsfunksjoner som TPM og Secure Boot, til tross for at de ikke fullt ut avverger denne spesifikke trusselen. Overvåkning for utnyttelsesforsøk gjennom logging anbefales også.

Denne sårbarheten understreker de pågående risikoene i grunnleggende firmwaregrensesnitt som er kritiske for global IT-infrastruktursikkerhet. Den tjener som en påminnelse om kompleksiteten og utfordringene med å sikre tidlig-stadium oppstartsmiljøer i et landskap med stadig utviklende trusler.