Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Krytyczna podatność CVE-2026-97631 w firmware UEFI opartym na EDK II pozwala wykonać kod podczas rozruchu przez PXE

Rodzaj
Streszczenie
Data
Aktualizacja
Kategoria
Aktualności
Redakcja
Paweł Rosół
Źródło
TianoCore ()

TianoCore ocenił błąd w sterowniku rozruchu sieciowego EDK II na 9.5 w CVSS 4.0. Poprawka jest w kodzie od 15 października, ale nie ma jej jeszcze w żadnym wydaniu stabilnym ani w aktualizacjach producentów.

TianoCore, projekt rozwijający otwarty kod EDK II, na którym producenci sprzętu i dostawcy chmury budują firmware UEFIUEFI Firmware, które uruchamia komputer lub serwer, zanim załaduje się system operacyjny. Większość producentów buduje je na otwartym kodzie EDK II., opublikował 22 października 2026 r. ostrzeżenie o podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-97631 w sterowniku rozruchu sieciowegoRozruch sieciowy PXE Uruchamianie serwera lub innego urządzenia z kodu pobranego z sieci lokalnej zamiast z dysku. Obsługuje je firmware UEFI. PXE (NetworkPkg/UefiPxeBcDxe). Ocenił ją jako krytyczną, 9.5 w CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 4.0. Gdy maszyna uruchamia się przez sieć po IPv4 lub IPv6, atakujący bez uwierzytelnienia, który dostarczy jej komunikat błędu ICMP, zapisuje dane poza 504-bajtowym polem w pamięci. Skutkiem jest zawieszenie rozruchu, a jeśli atakujący zna dokładną wersję firmware, wykonanie jego kodu, zanim Secure Boot sprawdzi jakikolwiek składnik systemu operacyjnego. Według Ars Technica z kodu EDK II korzystają w dużej mierze dostawcy UEFI, w tym AMI, Insyde i Phoenix.

Odkrywcy błędu, Alex Matrosov z Anthropic i Dan Holmes z Google, planowali według Ars Technica ujawnić go w styczniu, ale we wrześniu AMI opublikowało poprawkę z opisem błędu. Poprawka trafiła do głównej gałęzi EDK II 15 października, a rekord CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. podaje jako podatne wydania do edk2-stable202608 włącznie, czyli nie ma jeszcze wydania stabilnego z poprawką. Red Hat oznacza pakiety edk2 w RHEL 8, 9 i 10 jako podatne.

Źródła różnią się co do zasięgu ataku. TianoCore pisze, że pakiet może przyjść z dowolnej odległości w sieci, a Red Hat we wstępnej ocenie (8.8 w CVSS 3.1) zakłada sieć sąsiednią. Ars Technica i Jesse Michael z Eclypsium wskazują, że atakujący potrzebuje dostępu do sieci lokalnej, a exploit trzeba dopasować do modelu, wersji i konfiguracji. Nie dotyczy to urządzeń uruchamianych wyłącznie z dysku. Intel odpowiedział, że nie zna podatnych produktów spośród tych, które wspiera, ale kod może dodać producent płyty lub systemu. Arm napisał, że błąd nie dotyczy bezpośrednio jego produktów, a AMD, AMI, Phoenix, Microsoft i Amazon nie odpowiedziały redakcji.

Jeśli twoje serwery uruchamiają się przez PXE, zapytaj producenta firmware o poprawkę. Ars Technica radzi do tego czasu rozważyć wyłączenie rozruchu sieciowego i śledzić logi. Na 28 października 2026 r. CVE-2026-97631 nie ma w katalogu CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności..

Aktualizacja z 29 października 2026

Debian Security Tracker oznacza pakiet edk2 jako podatny w bookworm (2022.11-6+deb12u2, w gałęzi security 2022.11-6+deb12u1), w trixie (2025.02-8+deb13u1) oraz w forky i sid (2026.08+ds-2). Żadne z tych wydań nie ma poprawki, a w gałęzi unstable wpis ma status „unfixed”. Dla trixie tracker dodaje adnotację no-dsa z opisem „Minor issue”.

DiarioBitcoin, powołując się na Ars Technica, podaje szczegóły, których nie było w tekście wyżej. HD Moore z Dragos wskazuje, że atakujący z dostępem do sieci w pobliżu serwera mógłby przejąć przebieg rozruchu w chwili, gdy proces komunikuje się jeszcze z TPM. Przy tymczasowym dostępie do sieci albo kradzieży urządzenia mogłoby to ułatwić złamanie szyfrowania dysku. Kod uruchomiony przez sam błąd nie przetrwa restartu, ale może zainstalować inne ładunki, które będą działać przy kolejnych rozruchach. Według tego źródła dostępne informacje nie wskazują na aktywną eksploatację.

Jesse Michael z Eclypsium mówi według DiarioBitcoin, że poprawka wymaga zmiany kodu i aktualizacji BIOS lub UEFI, bez unieważniania wpisów i bez wymiany kluczy PK, KEK, db i dbx. Do czasu aktualizacji źródło zaleca zostawić włączone TPM i Secure Boot oraz przeglądać logi pod kątem prób wykorzystania błędu. The Hacker News dodaje, że błąd tkwi w kodzie EDK II od 16 lat.

Źródła

Pojęcia w tym tekście (7)
UEFI
Firmware, które uruchamia komputer lub serwer, zanim załaduje się system operacyjny. Większość producentów buduje je na otwartym kodzie EDK II.
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Rozruch sieciowy PXE
Uruchamianie serwera lub innego urządzenia z kodu pobranego z sieci lokalnej zamiast z dysku. Obsługuje je firmware UEFI.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
CVE
Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
CISA
Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Katalog KEV
Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.