10.9-dan 9.5 dərəcəli həssaslıq dərəcəsi olan bu zəiflik TianoCore EDK II-də yerləşir. Bu açıq mənbəli kod bazasıdır ki, donanım istehsalçıları və bulud təminatçıları UEFI firmware-ni quraşdırmaq üçün istifadə edirlər. Ötən il UEFI Forumunun bir nümayəndəsi EDK2-i UEFI spesifikasiyalarının preeminent həll / tətbiqi adlandırdı. AMI, Insyde və Phoenix də daxil olmaqla demək olar ki, bütün UEFI təchizatçıları (bəzən hələ də IBV və ya müstəqil BIOS satıcıları adlandırılır), istinad kodu geniş istifadə edirlər. Microsoft'un "Mu" layihəsi, həssas komponent olan koddan istifadə edib. CVE-2026-97631 kimi izləilən zəiflik, hücumçuların əməliyyat sistemi və firmware-nin yükləmə zamanı yüklənən etibarlı platforma modulu (TPM) da daxil olmaqla bütün kodlar üçün etibar silsiləsi qurduğu Secure Boot kimi müdafiə tətbiq edə bilmədən əvvəl işləyən zərərli kod icra etmək üçün istifadə edə biləcək ICMP komponentindəki yaddaş-korrupsiya qüsurudur. CVE-2026-97631 tərəfindən çatdırılan son payloadlar heç bir davamlılıq yoxdursa da, bu da yalnız bir dəfə işləyə bilərlər. Qat çantanı tərk etdi CVE-2026-97631-i kəşf edən tərəflər Antropik-in Alex Matrosov və Google-ın Dan Holmes-u yanvarda planlaşdırılan koordinasiya olunmuş açıqlamalara qədər gizli qalmağı planlaşdırmışdılar. Ana kart və digər hardver istehsalçısı AMI, bu zərərliliyi ətraflı izah edən və kod düzəlişini daxil edən bu pul tələbini ötən ay dərc etdi. Bu yazı kəşf edən tərəflərin diqqətinə çatdıqdan sonra TianoCore layihəsinin üzvləri ötən həftə ictimai məsləhətçiliyi dərc ediblər. İctimaiyyətə açıq olan patch kodu ilə qabaqcıl hakerlər üçün zəifliklərin necə baş verdiyini öyrənmək və işləyən exploitlər yaratmaq adi olmayacaq. Təcililiyi daha da artırmaq üçün minlərlə aparat istehsalçısı və bulud təminatçısı tərəfindən satılan və istifadə olunan milyonlarla son cihazda UEFI kodunun zəifliklərinin aradan qaldırılması çətin və vaxt tələb edir. Zəiflik barədə məlumat, PHP proqramlaşdırma dilində kritik kod icra edilməsi zəifliyi ilə bağlı başqa bir səhv açıqlanmasından altı gün sonra verilib. "İEDK2 şəbəkə yığmasının ICMP analizisində bu zəiflik etibar zəncirini və daha geniş ekosistemə necə təsir göstərdiyini nəzərə alaraq maraqlıdır", - deyə Metasploit-in yaradıcısı və təhlükəsizlik şirkəti Dragos-un baş tədqiqat rəisi HD Moore bildirib. Bir hücumçu yaxın bir son nöqtə və ya serverə zərər vurmaq niyyətindədir bu səhvdən istifadə edərək, başlanğıc prosesi hələ də son nöqtələrin TPM kimi həssas komponentlərə daxil olduğu bir nöqtədə proqram axınına əl atır. Bu, hücumçuun qısa müddətli şəbəkə girişinə malik olduğu hallarda disk şifrələməsini pozmaq üçün istifadə edilə bilər (və oğurluq ssenariyasında daha da asan olardı). CVE-2026-97631 - 16 illik bir tampondur. Bu, serverlərin, saxlama avadanlıqlarının və digər qurğuların yerli şəbəkədən yüklənmiş kod istifadə edərək başlamasına imkan verən PXE-Base Code sürücüsündə (NetworkPkg/UefiPxeBcDxe) yüklənir. Bu prosesdə, icra olunmadan əvvəlki mühitin başlanğıcı olaraq bilinən sürücülük ICMP səhvlərini izləmək üçün şəbəkə dinləyicisindən istifadə edir. Sürücünün 504 baytlıq yaddaş nüsxəsi məhdudunu tətbiq etmədiyi üçün, qonşu məlumatları üstə yazması, zərərli bir daxili şəxs və ya yerli şəbəkəyə aşağı səviyyəli giriş əldə edən bir haker bu məhduddan artıq kod əlavə edən bir səhv mesajı göndərə bilər. CPU-da işləyən IUEFI modulu sonra zədələnir. Rəsmi məsləhətləşmədə deyilir:
Şəbəkə başlama zamanı PXE Baza Kodu sürücüsü (NetworkPkg/UefiPxeBcDxe) ICMP səhv mesajları üçün qəbul tələbini açıq saxlayır və hər bir qəbul edilmiş mesajı özəl kontekst quruluşunun sabit 504-bayt sahəsinə kopyalayır. Copy loop s sərhədləri idarə etmək həm IPv4 və IPv6 idarəçilərində səhvdir (PxeBcIcmpErrorDpcHandle və PxeBcIcmp6ErrorDpcHandle): 504 baytdan uzun bir mesaj üçün hələ də bəyttləri sahəyə kopyalayır və hədəf göstəricisini bir fragment uzunluğundan daha çox toplayır, buna görə də həddindən artıq bir mesaj hücumçu tərəfindən idarə olunan bəyttləri sahədən keçirir. Alıcı yolunda əvvəlki heç bir şey mesajın uzunluğunu məhdudlaşdırmır.
Zərərli səhv PXE start ardıcıllığı zamanı göndərilən müddətdə hər hansı bir şəbəkə məsafədən hədəf cihazın IP ünvanına göndərilən sadə bir unicast vasitəsilə çatdırıla bilər. Hücumçu, start ardıcıllığını asmaqla xidmətdən imtina edə bilər. Hücumçu hədəf firmware quruluşunun nə olduğunu bildikdə, UEFI firmware mühitində CPU-da zərərli kodun icrasına səbəb olan bir falsifikasiya hadisəsi qura bilər. Kodu 0-cu ringdə işləyir, CPU-nun ən üstün icra səviyyəsi. Çətin serverlərə hardverin təhlükəsiz olduğunu kriptografik olaraq sübut etmək üçün nəzərdə tutulmuş bypass attestasiya proseslərindən istifadə etdikləri üçün məhdud imtiyazların yüksəldilməsi üçün əsas bir fürsət təqdim edirlər. Sonsuz bir gün daha CVE-2026-97631 UEFI və ya onunla sıx işləyən kodda əvvəlcədən aşkar edilmiş zəifliklərin uzun siyahısına qoşulur. Onlardan ən ağırsı, LogoFail, demək olar ki, hər bir aparat istehsalçısının UEFI-də yer alan logo şəkillərindən irəli gəlir. Rendering səhvləri hücumçuların UEFI-nin tətbiq etdiyi etibar zəncirini pozmağa və OS yüklənmədən və ya Secure Boot işləmədən əvvəl zərərli komponentləri quraşdırmağa imkan verdi. PixieFail CVE-2026-97631-ə bənzər bir zəiflik idi. Bu da EDK2-dəki səhv PXE start səhvlərinin nəticəsidir. Güclü məkanın aşkar edilməsindən sonra tədqiqatçılar açıq mənbə kod kitabxanasında digər kritik qüsurları aşkar etmək üçün nəzərdə tutulmuş bir neçə qarışıq layihə həyata keçirdilər. Görünür, bu səylər son səhvini tapmaqda uğursuz oldu. Son vaxtlar aşkar edilmiş digər UEFI qüsurları aşağıdakılardır:
PKFail, məhsulun istehsal olunmamış test platformaları açarlarından yaranmış bir təchizat zəncirində pozğunluq, aşkar edilmədən bir on ildən çoxdur ictimaiyyət üçün istifadə olunur və yüzlərlə cihaz modellərində istifadə olunur; BootHole; Bootkit; və Qara Lotus.
CVE-2026-97631 kimi, bu payloadların istismarı və istifadəsi də cəlbedicidir, çünki hücumçuların mac-i yoluxdurmasına imkan verir
Xülasə — davamını mənbədə oxuyun.
