Kritiska kļūda UEFI kodā EDK II ļauj palaist ļaunatūru serveros pirms Secure Boot

TianoCore projekts, kas uztur atvērtā pirmkoda UEFI programmaparatūras bāzi EDK II, 22. oktobrī publiskoja brīdinājumu par kritisku ievainojamību CVE-2026-97631. Tā atrodas draiverī, kas ļauj datoriem un serveriem sāknēties no lokālā tīkla (PXE). Projekta brīdinājumā kļūdai piešķirts bīstamības novērtējums 9,5 no 10 pēc CVSS skalas. Plašāku uzmanību tā guva šonedēļ, kad par to rakstīja Ars Technica un The Hacker News.

Problēma ir nozīmīga tāpēc, ka ļaunprātīgs kods var sākt darboties vēl pirms operētājsistēmas ielādes, pirms Secure Boot vai citi aizsardzības mehānismi paspējuši ko pārbaudīt. Ars Technica norāda, ka EDK II kodu plaši izmanto programmaparatūras piegādātāji, piemēram, AMI, Insyde un Phoenix, kā arī Microsoft savā projektā Project Mu. Tādēļ nav viegli noteikt, cik iekārtu ir skartas.

Pēc projekta brīdinājuma, tīkla sāknēšanas laikā draiveris saņemtos ICMP kļūdu ziņojumus kopē 504 baitu laukā, bet nepareizi pārbauda to garumu. Pārāk garš ziņojums pārraksta blakus esošo atmiņu. Vienkāršākajā gadījumā sāknēšana uzkaras, bet uzbrucējs, kurš zina konkrētās programmaparatūras versiju, var izpildīt savu kodu ar procesora augstākajām privilēģijām. Pietiek nosūtīt vienu ziņojumu uz iekārtas IP adresi tieši sāknēšanas brīdī. Abi mediji raksta, ka kļūda kodā bijusi aptuveni 16 gadus.

Ievainojamību atrada Alekss Matrosovs no Anthropic un Dens Holmss-Mitra no Google. Pēc The Hacker News un Ars Technica ziņotā, koordinētā atklāšana bija plānota 2027. gada janvārī, taču 28. septembrī AMI inženiera parakstītā publiskā izmaiņu pieprasījumā tika aprakstīta gan kļūda, gan tās labojums. Kad pētnieki to pamanīja, TianoCore publiskoja brīdinājumu. Ars Technica norāda, ka līdz ar publisku labojuma kodu pieredzējušiem uzbrucējiem būs vieglāk izveidot strādājošu ekspluatāciju.

Riskam ir arī ierobežojumi. Ars Technica uzsver, ka kļūda neskar mājas un mazo biroju lietotājus, kuru datori sāknējas no diska. Apdraudētas ir organizācijas, kuru iekārtas sāknējas no tīkla un kuru programmaparatūra izmanto skarto EDK II daļu. Uzbrucējam parasti vajadzīga piekļuve iekšējam tīklam, un ekspluatācija jāpielāgo konkrētam modelim. Intel izdevumam pauda, ka tā šobrīd atbalstītie komerciālie produkti nav zināmi kā skarti, savukārt Arm norādīja, ka ievainojamība uz tās produktiem tieši neattiecas.

Labojums EDK II galvenajā kodā iekļauts 15. oktobrī, taču līdz serveriem tas nonāks tikai ar katra ražotāja programmaparatūras atjauninājumiem. Debian drošības izsekotājs šobrīd savas edk2 pakotnes norāda kā ievainojamas, bet Fedora labojumu jau iekļāvusi testēšanai paredzētā pakotnes atjauninājumā. Līdz atjauninājumiem Ars Technica iesaka sazināties ar iekārtu ražotājiem un, ja iespējams, uz laiku atslēgt sāknēšanu no tīkla.