Kritiska ievainojamība UEFI programmaparatūrā apdraud lielāko daļu serveru

Atvērtā koda programmaparatūras komponentē TianoCore EDK II atklāta kritiska drošības ievainojamība, kas ļauj uzbrucējiem izpildīt kaitīgu kodu datora ieslēgšanas sākumposmā. Šo kodu izmanto lielākā daļa pasaules serveru ražotāju un datu centru, lai izveidotu UEFI programmaparatūru, kas darbojas pirms operētājsistēmas startēšanas. Ievainojamība, kas reģistrēta ar numuru CVE-2026-97631, saņēmusi 9,5 ballu novērtējumu no 10 iespējamām.

Kas ir ievainojamība

Kļūda ir atmiņas bojājums ICMP (tīkla kļūdu ziņojumu protokola) apstrādes komponentē, kas ir daļa no PXE Base Code draivera. Šis draiveris ļauj serveriem un citām ierīcēm startēt no koda, kas lejupielādēts vietējā tīklā. Draiveris nepiemēro 504 baitu kopēšanas ierobežojumu, tāpēc pārāk garš kļūdas ziņojums pārraksta blakus esošos datus. Kļūda kodā pastāv 16 gadus.

Uzbrukuma kods izpildās pirms Secure Boot un citiem aizsardzības mehānismiem, kas veido uzticamības ķēdi, tostarp pirms TPM (uzticamās platformas moduļa) ielādes. Taču šādi nosūtītais kods darbojas tikai vienu reizi, tāpēc tas nenodrošina noturību, lai gan var palīdzēt uzstādīt citas kaitīgas komponentes.

Priekšlaicīga atklāšana

Ievainojamību atklāja Alekss Matrosovs no Anthropic un Dans Holmss no Google; publiskošana bija saskaņota uz janvāri. Uzņēmums AMI, kas ražo mātesplates un citu aparatūru, pagājušajā mēnesī publicēja izmaiņu pieprasījumu ar kļūdas aprakstu un labojumu. Pēc tam TianoCore projekta dalībnieki pagājušajā nedēļā izdeva publisku paziņojumu. Ar publiski pieejamo labojuma kodu uzbrucējiem būs viegli izstrādāt darbīgus izmantošanas paņēmienus.

Ierobežojumi un ieteikumi

Uzbrukumam nepieciešama zināma piekļuve lokālajam tīklam, un uzbrucējam jāzina mērķa programmaparatūras versija. Mājas un mazo biroju lietotājus, kas startē tikai no diskiem, tas neskar. Intel norādīja, ka tā atbalstītie komercprodukti nav skarti, savukārt Arm paziņoja, ka ievainojamība tiešā veidā neattiecas uz tā produktiem. AMD, Phoenix, AMI, Microsoft un Amazon uz jautājumiem neatbildēja.

Skartajiem ieteicams sazināties ar programmaparatūras ražotāju, vismaz uz laiku izslēgt tīkla startēšanu, ja iespējams, un sekot žurnālfailiem, vai nav mēģinājumu izmantot kļūdu.