Defekt kritik në firmware-in UEFI lejon ekzekutimin e kodit para se të niset sistemi operativ

Një defekt kritik sigurie në kodin e firmware-it UEFI që përdoret gjerësisht në serverë i lejon një sulmuesi në rrjet të ekzekutojë kod përpara se sistemi operativ të niset dhe përpara se mekanizmat e sigurisë të hyjnë në punë, siç raporton Ars Technica. Dobësia, e regjistruar si CVE-2026-97631, ndodhet në kodin me burim të hapur EDK II të projektit TianoCore, mbi të cilin furnizues të firmware-it si AMI, Insyde dhe Phoenix ndërtojnë produktet e tyre.

Sipas njoftimit të sigurisë të TianoCore, problemi qëndron te drejtuesi PXE, që përdoret kur një kompjuter niset nga rrjeti në vend të diskut të vet, përmes IPv4 ose IPv6. Gjatë nisjes, drejtuesi mban hapur një kërkesë për mesazhe gabimi ICMP dhe i kopjon ato në një fushë fikse prej 504 bajtësh; përpunimi i gabuar i kufijve bën që një mesazh më i gjatë ta tejkalojë fushën dhe të shkruajë të dhëna të sulmuesit përtej saj, në memorien e fazës DXE.

Njoftimi thekson se sulmuesi nuk ka nevojë për autentikim: mjafton t’i dërgojë një mesazh të ndërtuar posaçërisht ICMP adresës IP të kompjuterit që po niset nga rrjeti. Në rastin më të thjeshtë, sulmi e bllokon nisjen; por një sulmues që njeh ndërtimin e saktë të firmware-it mund të fusë një ngjarje të rreme dhe ta bëjë pajisjen të ekzekutojë kodin e tij në fazën DXE, me privilegje maksimale dhe përpara se Secure Boot ose measured boot të kenë verifikuar ndonjë komponent të sistemit operativ.

Sipas Ars Technica, numri i sistemeve të prekura nuk dihet ende dhe deri tani nuk ka prova për shfrytëzim aktiv të dobësisë. Ekspozimi vlen vetëm për pajisjet që nisen nga rrjeti: kompjuterët që nisen vetëm nga disku i tyre nuk preken. Intel i tha Ars Technica se asnjë nga produktet e saj komerciale aktualisht nën mbështetje sigurie nuk njihet si i prekur, ndërsa Arm tha se dobësia nuk zbatohet drejtpërdrejt për portofolin e saj të produkteve.

Defekti u zbulua nga Alex Matrosov i Anthropic dhe Dan Holmes-Mitra i Google, të cilët dhanë edhe rregullimin e rekomanduar, sipas njoftimit të TianoCore. Rregullimi duhet të arrijë te përdoruesit përmes përditësimeve të firmware-it nga prodhuesit e pajisjeve, ndaj Ars Technica këshillon organizatat t’u kërkojnë udhëzime furnizuesve të firmware-it, të çaktivizojnë përkohësisht nisjen nga rrjeti aty ku është e mundur dhe të monitorojnë regjistrat për shenja tentativash shfrytëzimi.