16 éves UEFI-hiba miatt futhat idegen kód az operációs rendszer indulása előtt
Egy hálózati hibaüzenet is elég lehet ahhoz, hogy támadói kód fusson egy érintett gépen, még az operációs rendszer betöltése előtt. A TianoCore EDK II firmware hálózati indítását érintő, 16 éves sérülékenység ellen a Secure Boot és a TPM sem nyújt védelmet. A javítás részletei a tervezettnél korábban nyilvánosságra kerültek.
A hálózatról induló, EDK II-alapú gépek érintettek
A CVE-2026-97631 azonosítójú sérülékenység műszaki súlyosságát jelző CVSS-érték 9,5, ami kritikus besorolást jelent. Ez a pontszám önmagában nem mondja meg, hogy visszaélnek-e vele.
Az EDK II nyílt forráskódú projektből hardvergyártók és felhőszolgáltatók építenek UEFI-firmware-t. Ez a számítógépet az operációs rendszer betöltése előtt elindító szoftver. Az alapot az AMI, az Insyde és a Phoenix is használja; a sérülékeny összetevő a Microsoft Project Mu projektjébe is bekerült.
A hiba egyes, EDK II-alapú firmware-rel és engedélyezett PXE hálózati indítással működő rendszereket érint. A forrás az otthoni és kisirodai felhasználókat, valamint a kizárólag lemezről induló gépeket nem sorolja az érintettek közé.
Egy 504 bájtos mező határán túl is másol
A probléma a PXE-Base Code illesztőprogramban található. Ez teszi lehetővé, hogy szerverek, tárolóeszközök és más berendezések a helyi hálózatról letöltött kóddal induljanak el. Közben ICMP-üzeneteket is fogad: ezekkel jelzik az eszközök a hálózati hibákat.
Az illesztőprogram az érkező adatokat egy rögzített, 504 bájtos mezőbe másolja, de a mérethatárt nem tartatja be. Az IPv4 és az IPv6 feldolgozása egyaránt hibás. A túl hosszú üzenet a számára kijelölt területen túlra írhatja a támadó által meghatározott bájtokat, megrongálva a memóriát.
A másolási célhely számítása is pontatlan: az egyes töredékek hossza helyett azok összesített méretével lépteti tovább a mutatót. A fogadási útvonal korábbi szakasza sem korlátozza az üzenet méretét.
A támadáshoz el kell érni a gépet indítás közben
A visszaélés feltétele, hogy a célpont éppen PXE-indítást végezzen, és a támadó el tudjon hozzá juttatni ICMP-hibaüzeneteket. Ehhez nem kell hitelesítenie magát. A beszámoló szerint ugyanakkor szüksége van valamilyen hozzáférésre vagy befolyásra a helyi hálózaton.
Lehet szó rosszindulatú belső szereplőről, illetve olyan külső behatolóról, aki már bejutott, és magasabb jogosultságot keres. A forrás szerint egyelőre nincs bizonyíték arra, hogy ezzel kívülről meg lehetne szerezni az első hozzáférést egy hálózathoz.
Hibás adatokkal megakasztható az indulás, ami szolgáltatásmegtagadást okozhat. A célpont firmware-verziójának ismeretében saját kód futtatására is lehetőség nyílhat, a processzor legmagasabb jogosultsági szintjén.
A Secure Boot ellenőrzése előtt történhet a kódfuttatás
A sérülékenység olyan korai szakaszban használható ki, amikor a Secure Boot vagy a mért rendszerindítás még nem ellenőrizte az operációs rendszer összetevőit. Előbbi az induláskor betöltött szoftver megbízhatóságát ellenőrzi, a TPM pedig többek között a hardveralapú bizalmat támogató biztonsági funkciókat szolgálja. Ezek továbbra is hasznosak, de ezt a támadást nem akadályozzák meg.
A beszámoló szerint a visszaélés a hardver megbízhatóságát kriptográfiai ellenőrzésekkel igazoló eljárást is megkerülheti. A végrehajtott támadói kód önmagában nem marad aktív a futása után, viszont segíthet más, az indulás korai szakaszában működő kártékony összetevők telepítésében.
A beszállítótól kell tisztázni az érintettséget és a javítást
A kutatók januárra tervezték a közzétételt, az AMI azonban az októberi beszámolót megelőző hónapban kiadott egy javítást, amelyből megismerhetővé váltak a részletek. Ezután a TianoCore nyilvános figyelmeztetést tett közzé. A módosítás tanulmányozása támadókód készítését is segítheti; ez nem jelent igazolt, folyamatban lévő kihasználást.
Az érintett készülékek köre még nem tisztázott. Az Intel és az Arm szerint saját termékeik közvetlenül nem érintettek, de a gyártók hozzáadhatják a sérülékeny kódot.
A forrás a rendszer vagy a firmware beszállítójának megkeresését, a hálózati indítás lehetőség szerinti letiltását és a naplók gyanús aktivitásra utaló jeleinek figyelését javasolja.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum