A világ védelmi szakembereinek újabb, kódfuttatást lehetővé tevő sebezhetőségre kell reagálniuk. Ezúttal olyan, rendszerindításkor futó firmware-ről van szó, amelyet a Föld legtöbb szervergyártója és adatközpontja használ.

A 10-ből 9,5-ös súlyossági besorolású sebezhetőség a TianoCore EDK II-ben található. Ez egy nyílt forráskódú kódbázis, amelyet hardvergyártók és felhőszolgáltatók használnak annak a UEFI firmware-nek az elkészítéséhez, amely a rendszerindítási folyamat során fut. Tavaly a UEFI Forum egyik képviselője azt mondta, hogy az EDK2 a „UEFI specifikációk vezető megoldása / megvalósítása”. Gyakorlatilag minden UEFI-beszállító (régebbi nevükön IBV, independent BIOS vendor), köztük az AMI, az Insyde és a Phoenix, széles körben használja ezt a referencia kódot. A Project Mu, a Microsoft megerősített EDK2-forkja szintén használta azt a kódot, amely a sebezhető komponenst tartalmazta.

A CVE-2026-97631 azonosítón követett sebezhetőség memória-kezelési hiba egy ICMP komponensben. A támadók ezt kihasználva olyan kártékony kódot futtathatnak, amely még az operációs rendszer és a firmware előtt indul el, mielőtt olyan védelmek életbe lépnének, mint a Secure Boot. A Secure Boot bizalmi láncot hoz létre minden, a rendszerindítás során betöltött kódhoz, beleértve a Trusted Platform Module-t (TPM) is. Bár a CVE-2026-97631 által eljuttatott végső payload nem marad tartósan a rendszeren – vagyis csak egyszer fut le –, a támadóknak így is nagy mozgásteret adhat arra, hogy olyan további payloadokat telepítsenek, amelyek ezután minden egyes rendszerindítás elején lefutnak.

Kiszabadult a szellem a palackból

A CVE-2026-97631-et felfedező szakemberek – Alex Matrosov (Anthropic) és Dan Holmes-Mitra (Google) – eredetileg úgy tervezték, hogy a hibát januárig titokban tartják, és akkor hozzák nyilvánosságra összehangolt módon. Az AMI, amely alaplapokat és más hardvereket gyárt, múlt hónapban közzétett egy beolvasztási kérelmet, amely részletesen ismertette a sebezhetőséget, és tartalmazta a kód javítását is. Amikor a felfedezők tudomást szereztek erről a bejegyzésről, a TianoCore Project tagjai múlt héten nyilvános figyelmeztetést adtak ki.

Mivel a javítócsomag kódja nyilvánosan elérhető, a tapasztalt támadók számára gyerekjáték lesz megérteni, hogyan váltható ki a sebezhetőség, és működő kihasználó kódot készíteni hozzá. Tovább növeli a sürgősséget, hogy a UEFI-kód sebezhetőségeinek javítása több millió végfelhasználói eszközön – amelyeket gyártók és felhőszolgáltatók ezrei adtak el és használnak – nehézkes és időigényes folyamat. A sebezhetőségről szóló hír hat nappal azután érkezett, hogy egy másik, félresikerült nyilvánosságra hozatal történt, ezúttal a PHP programozási nyelvet érintő, kritikus kódfuttatási sebezhetőséggel kapcsolatban.