Krytyczna luka w wykonaniu kodu odkryta w oprogramowaniu UEFI zagrażająca globalnym serwerom

Image: Ars Technica · Source

Poważna luka w oprogramowaniu TianoCore EDK II UEFI używanym przez większość serwerów umożliwia wykonanie kodu we wczesnej fazie startu, narażając na naruszenia przed aktywacją zabezpieczeń Secure Boot.

Krytyczna luka bezpieczeństwa oznaczona jako CVE-2026-97631 została wykryta w TianoCore EDK II, otwartoźródłowej implementacji oprogramowania UEFI szeroko wykorzystywanej w serwerach na całym świecie. Błąd korupcji pamięci w komponencie ICMP sterownika PXE-Base Code umożliwia atakującym wykonanie złośliwego kodu na wczesnym etapie procesu startu, zanim zabezpieczenia takie jak Secure Boot i Trusted Platform Module (TPM) ustalą integralność systemu.

Luka wynika z 16-letniego przepełnienia bufora w module NetworkPkg\UefiPxeBcDxe, który przetwarza komunikaty błędów ICMP podczas rozruchu sieciowego (PXE boot). Konkretnie, brak egzekwowania limitu 504 bajtów podczas kopiowania danych błędu ICMP pozwala na nadpisanie pamięci i przejęcie wykonania procesora na poziomie uprzywilejowania ring 0. Oferuje to drogę ataku poprzez dostęp do sieci — często od wewnętrznych użytkowników lub zaawansowanych przeciwników kontrolujących segmenty sieci lokalnej — umożliwiając wstrzyknięcie i wykonanie payloadów podczas uruchamiania systemu.

Lukę odkryli Alex Matrosov z Anthropic i Dan Holmes z Google. Początkowo planowano jej skoordynowane publiczne ujawnienie w styczniu 2027 r., jednak wcześniejsze publiczne ogłoszenie przez producenta sprzętu AMI doprowadziło do wydania alertu. Ponieważ kod exploitów może być stosunkowo łatwy do stworzenia na podstawie opublikowanej łatki, ryzyko ataków na liczne serwery i urządzenia chmurowe jest znaczne. Aktualizacje są trudne ze względu na ogromną bazę zainstalowanego oprogramowania, różnorodność dostawców sprzętu oraz potrzebę aktualizacji firmware.

Eksperci ds. bezpieczeństwa podkreślają, że ta luka narusza łańcuch zaufania na wczesnym etapie rozruchu, pozwalając atakującym na ominięcie uwierzytelniania oprogramowania układowego i potencjalne złamanie szyfrowania dysków, szczególnie w scenariuszach krótkotrwałego dostępu do sieci lub kradzieży urządzenia. Problem jest szczególnie niebezpieczny, ponieważ występuje zanim system operacyjny i bezpieczne komponenty firmware są w pełni funkcjonalne.

W przeciwieństwie do innych głośnych błędów UEFI takich jak LogoFail czy BootHole, tę lukę można naprawić za pomocą poprawki kodu bez konieczności zarządzania kluczami Secure Boot czy aktualizacji systemu operacyjnego. Niemniej wdrożenie aktualizacji BIOS/UEFI na wielu urządzeniach pozostaje wyzwaniem logistycznym.

Luka głównie dotyczy serwerów i sprzętu korporacyjnego korzystającego z rozruchu sieciowego na bazie firmware EDK II. Nie dotyczy zwykłych użytkowników domowych ani małych biur, którzy uruchamiają system wyłącznie z lokalnych dysków. Główni producenci, tacy jak Intel i Arm, deklarują, że ich obecne wspierane produkty komercyjne nie są bezpośrednio zagrożone, choć komponenty integrujące EDK II mogą stwarzać ryzyko. Zapytania do innych głównych organizacji dotkniętych problemem nie przyniosły odpowiedzi.

Ze względu na powagę sytuacji i szerokie zastosowanie referencyjnej implementacji EDK II, zaleca się organizacjom obsługującym serwery z możliwością rozruchu sieciowego weryfikację wersji firmware, konsultacje z dostawcami oraz rozważenie tymczasowego wyłączenia rozruchu sieciowego jako środka ostrożności. Utrzymanie aktywnych funkcji zabezpieczeń takich jak TPM i Secure Boot jest ważne, choć nie eliminuje całkowicie tego specyficznego zagrożenia. Zaleca się także monitorowanie prób eksploatacji poprzez analizę logów.

Ta luka podkreśla ciągłe ryzyko w fundamentach interfejsów firmware, kluczowych dla bezpieczeństwa globalnej infrastruktury IT. Przypomina o złożoności i wyzwaniach w zabezpieczaniu środowisk startu na wczesnym etapie wobec zmieniających się zagrożeń.