PXE 부팅 취약점, CVSS 9.5점…EDK2 일부 펌웨어에 영향

Bazı cihazların UEFI ürün yazılımlarında, işletim sistemi başlamadan önce kod çalıştırılmasına yol açabilecek bir güvenlik açığı açıklandı. Açığın CVSS 4.0 puanı 10 üzerinden 9,5.

TianoCore, 22 Ekim’de EDK2’nin PXE önyükleme sürücüsünde bulunan CVE-2026-97631 numaralı açığı duyurdu. UEFI, işletim sistemi yüklenmeden önce cihazı başlatan ürün yazılımı altyapısıdır. PXE ise cihazın ağ üzerinden önyükleme dosyalarını alarak başlatılmasını sağlar.

Açık, EDK2’nin NetworkPkg bileşenindeki PXE Base Code sürücüsünün ICMP hata mesajlarını işlerken ortaya çıkıyor. Ağ iletişimindeki hataları bildiren ICMP mesajları, sürücü tarafından sabit 504 baytlık bir alana kopyalanıyor. Güvenlik duyurusuna göre uzunluk hatalı denetlendiği için fazla veriler bitişik belleğe yazılabiliyor. Bu güvenlik açığı IPv4 ve IPv6 kodlarının ikisinde de bulunuyor.

Saldırganın, hedef cihaz PXE ile ağdan önyükleme yaparken cihazın IP adresine ICMP hata mesajı göndermesi gerekiyor. TianoCore, saldırgan hedef ürün yazılımı derlemesinin ayrıntılarını biliyorsa önyüklemenin DXE aşamasında rastgele kod çalıştırmayı deneyebileceğini belirtti. Saldırı sırasında önyükleme işlemi de durabilir.

Güvenlik açığından, EDK2’nin etkilenen bileşenini içeren ve PXE önyükleme özelliğini kullanan cihazlar etkileniyor. Bu nedenle EDK2 kullanan tüm cihazların veya sunucuların savunmasız olduğu söylenemez. Her ürün için etkilenme durumu ve güncelleme takvimi, üreticinin ürün yazılımı yapılandırmasına göre kontrol edilmeli.

Intel, güvenlik desteği sunulan ticari ürünleri arasında etkilendiği doğrulanan bir ürün bulunmadığını açıkladı. Arm ise açığın kendi ürün gruplarına doğrudan uygulanmadığını bildirdi. AMD, AMI, Phoenix Technologies, Microsoft ve Amazon’dan yanıt alınamadı; üreticilere göre etkilenen ürünlerin listesi de açıklandığı sırada doğrulanmamıştı.

EDK2 deposunda açığı gideren bir commit yayımlandı. Ancak açık kaynak kodundaki düzeltme, sunucu veya anakart üreticilerinin ürün yazılımı güncellemesini dağıttığı anlamına gelmiyor. Cihaz yöneticilerinin, modellerinin etkilenip etkilenmediğini ve güncellemenin sunulup sunulmadığını üretici duyurularından kontrol etmesi gerekiyor.