Əksər server anakartlarında istifadə edilən açıq mənbəli UEFI istinad tətbiqi olan TianoCore EDK II (EFI Development Kit II)-də kritik bir boşluq (CVE-2026-97631) düzəldilib. Bu boşluq PXE drayverində mövcuddur və IPv4 və ya IPv6 şəbəkələrində şəbəkə açılışı zamanı xüsusi hazırlanmış ICMP paketləri göndərməklə istismar edilə bilər. Hücum identifikasiya tələb etmir və hücumçuya nəzarət əməliyyat sisteminə ötürülməzdən əvvəl UEFI proqram təminatı imtiyazları ilə kodu icra etməyə imkan verir. Bu, UEFI Secure Boot tərəfindən təsdiqlənmiş açılış mexanizmini keçmək və açılış zamanı zərərli komponentləri daxil etmək üçün istifadə edilə bilər.
Problem, PXE açılışı üçün istifadə edilən və şəbəkə səhvlərini qeyd etmək üçün şəbəkə açılışı zamanı ICMP paketlərini qəbul edən UefiPxeBcDxe drayverindəki ICMP mesaj emaledicisindəki bufer daşqınlığından qaynaqlanır. Daşqın, alınan səhv mesajlarının alınan məlumatların faktiki ölçüsünü yoxlamadan sabit 504 baytlıq buferə yerləşdirilməsi səbəbindən baş verir. ICMP paketində 504 baytdan çox göndərilərsə, daşqın buferin sonundan kənara yazılır və sonrakı strukturlarla üst-üstə düşür.
Hücum qlobal şəbəkədən həyata keçirilə bilər - qurbanın IP ünvanını bilmək və PXE-nin yüklənmə anını təyin etmək kifayətdir. İstifadə olunan dəqiq proqram təminatını bilmək server Qurban olduqda, təcavüzkar müəyyən bir proqram təminatının yaddaşında strukturların yerini nəzərə alaraq bir istismar hazırlaya və zəiflikdən istifadə edərək kodu DXE (Sürücü İcra Mühiti) səviyyəsində, sıfırıncı qoruma halqasında işlədərək icra edə bilər.
EDK II layihəsi 2004-cü ildə Intel tərəfindən açılıb və server sistemləri, məlumat mərkəzləri və bulud provayderləri üçün bütün əsas proqram təminatı satıcıları tərəfindən istifadə olunur. Digər şeylər arasında, AMI, Insyde və Phoenix proqram təminatında istifadə olunur. Zəifliklər həmçinin EDK II-nin bir qolu olan Microsoft-un Mu platformasına əsaslanan proqram təminatında da mövcuddur.
Problem Anthropic və Google nümayəndələri tərəfindən aşkar edilmiş və 2027-ci ilin yanvar ayında əlaqələndirilmiş şəkildə ictimaiyyətə açıqlanması planlaşdırılmışdı. Lakin, AMI-dən olan bir mühəndis təsadüfən embarqonu pozduğu və zəifliyin təbiətini aşkar edən düzəlişlə birlikdə ictimai pull request dərc etdiyi üçün məlumatın erkən açıqlanması lazım gəldi.
Mənbə: opennet.ru
