Allvarlig kodexekverings-sårbarhet upptäckt i UEFI-firmware som hotar globala servrar

Bild: Ars Technica · Källa

En allvarlig brist i TianoCore EDK II UEFI-firmware som används av de flesta servrar möjliggör kodexekvering i ett tidigt stadium, vilket riskerar intrång innan Secure Boot-skydd aktiveras.

En kritisk säkerhetssårbarhet benämnd CVE-2026-97631 har upptäckts i TianoCore EDK II, en öppen källkod-UEFI-firmware som används i stor utsträckning i servrar över hela världen. Denna minneskorruptionsbugg i PXE-Base Code-drivrutinens ICMP-komponent gör det möjligt för angripare att köra skadlig kod tidigt i uppstartsprocessen, innan skydd som Secure Boot och Trusted Platform Module (TPM) hinner etablera systemets integritet.

Bristen har sitt ursprung i ett 16 år gammalt buffertöverskridande i NetworkPkg\UefiPxeBcDxe-modulen som hanterar ICMP-felmeddelanden under nätverksstart (PXE-boot). Mer specifikt respekteras inte en gräns på 504 byte vid kopiering av ICMP-feldata, vilket låter välkonstruerade meddelanden skriva över minne och kapa CPU-exekvering på ring 0-privilegivå. Detta ger en väg för angripare med nätverksåtkomst—ofta insiders eller avancerade motståndare som kontrollerar lokala nätverkssegment—att injicera och köra kod under systemstarten.

Sårbarheten upptäcktes av Alex Matrosov från Anthropic och Dan Holmes från Google. Den var ursprungligen planerad för koordinerad offentlig avslöjande i januari 2027, men en tidig publicering av hårdvarutillverkaren AMI ledde till en offentlig avisering. Med exploit-kod som potentiellt är enkel att utveckla från den släppta patchen ökar risken för attacker mot otaliga servrar och molnenheter. Patchning är svår på grund av den stora installerade basen, olika hårdvaruleverantörer och behovet av firmwareuppdateringar.

Säkerhetsexperter påpekar att denna brist komprometterar den tidiga bootkedjan för förtroende, vilket gör det möjligt för angripare att kringgå firmwareattestering och potentiellt bryta kryptering av diskar, särskilt vid tillfällen med kortvarig nätverksåtkomst eller stöld av enheter. Problemet är särskilt allvarligt eftersom det inträffar innan operativsystemet och säkra firmwarekomponenter är fullt operativa.

Till skillnad från andra högprofilerade UEFI-sårbarheter såsom LogoFail eller BootHole, kan denna brist åtgärdas med en kodfix utan att hantera Secure Boot-nyckelhantering eller operativsystemuppdateringar. Kravet på distribution av BIOS/UEFI-firmwareuppdateringar på många enheter kvarstår dock som en logistisk utmaning.

Sårbarheten påverkar främst servrar och företagsutrustning som använder nätverksstart med EDK II-firmware. Vanliga hemanvändare eller småkontor som enbart startar från lokala enheter påverkas inte. Stora leverantörer som Intel och Arm uppger att deras nuvarande kommersiella produkter under support inte påverkas direkt, även om komponenter som integrerar EDK II kan innebära risk. Förfrågningar till andra större berörda organisationer har inte besvarats.

Med tanke på svårighetsgraden och den omfattande användningen av EDK II-referensimplementeringen uppmanas organisationer som driver servrar med nätverksstart att verifiera sina firmwareversioner, söka leverantörsråd och överväga att tillfälligt inaktivera nätverksstart som försiktighetsåtgärd. Det är fortsatt viktigt att behålla aktiverade säkerhetsfunktioner såsom TPM och Secure Boot trots att de inte fullt ut mildrar detta specifika hot. Monitorering efter utnyttjandeförsök genom loggning rekommenderas också.

Denna sårbarhet understryker de fortsatta riskerna i grundläggande firmwaregränssnitt som är avgörande för global IT-infrastruktursäkerhet. Den påminner om komplexiteten och utmaningarna att skydda tidiga uppstartsmiljöer i en föränderlig hotlandskap.