O vulnerabilitate informatică, prezentă de aproximativ 16 ani într-o componentă software utilizată la pornirea serverelor și a infrastructurilor centrelor de date, a fost dezvăluită public înainte de termenul planificat. Breșa, evaluată cu un scor de severitate de 9,5 din 10, ar putea permite atacatorilor să execute cod malițios înainte de încărcarea sistemului de operare și activarea unor mecanisme importante de securitate, precum Secure Boot, scrie arstehnica.com.
Potrivit investigații Ars Technica, vulnerabilitatea, identificată drept CVE-2026-97631, afectează o componentă a proiectului open-source TianoCore EDK II, folosit de producători de echipamente și furnizori de servicii cloud pentru dezvoltarea firmware-ului UEFI.
Acest software este responsabil de etapele inițiale ale pornirii calculatoarelor și serverelor, înainte ca sistemele de operare Windows, Linux sau alte platforme să preia controlul.
Problema este deosebit de sensibilă deoarece EDK II reprezintă una dintre cele mai răspândite baze software pentru firmware-ul UEFI, fiind utilizată de furnizori importanți precum AMI, Insyde și Phoenix. Și proiectul Microsoft Mu a folosit componenta vulnerabilă.
Breșa a fost descoperită de cercetătorii Alex Matrosov, de la Anthropic, și Dan Holmes-Mitra, de la Google. Aceștia intenționau să păstreze informația confidențială până în ianuarie 2027, pentru a oferi producătorilor suficient timp să pregătească actualizările de securitate.
Planul a fost însă compromis după ce producătorul AMI a publicat pe platforma GitHub o modificare de cod care descria vulnerabilitatea și includea soluția de remediere. Ulterior, echipa TianoCore a publicat propriul avertisment de securitate.
Publicarea prematură a detaliilor tehnice ridică riscul ca atacatori experimentați să analizeze codul disponibil și să dezvolte instrumente de exploatare înainte ca actualizările să ajungă la toate echipamentele vulnerabile.
Vulnerabilitatea este localizată într-o componentă care permite pornirea calculatoarelor și serverelor prin rețea, folosind tehnologia PXE. Aceasta conține o eroare de gestionare a memoriei, care poate fi declanșată prin transmiterea unor mesaje ICMP special construite.
În anumite condiții, atacatorii pot determina suprascrierea unor zone de memorie și executarea de cod la un nivel de privilegii extrem de ridicat, înainte ca sistemul de operare să fie încărcat.
O asemenea compromitere ar putea permite instalarea altor componente malițioase, inclusiv unele capabile să persiste la repornirea sistemului, chiar dacă exploatarea inițială nu este persistentă.
HD Moore, cercetător-șef la compania de securitate Dragos și creatorul platformei Metasploit, avertizează că exploatarea vulnerabilității ar putea permite unui atacator care are acces la rețeaua unei organizații să intervină într-o etapă a pornirii în care sistemul poate accesa inclusiv componente sensibile, precum modulul TPM.
Această situație ar putea crea oportunități pentru compromiterea unor mecanisme de protecție, inclusiv a criptării datelor, în anumite scenarii de atac.
Potrivit specialiștilor, vulnerabilitatea nu afectează în mod direct utilizatorii obișnuiți care își pornesc calculatoarele de pe hard disk sau SSD. Riscul este concentrat asupra organizațiilor care folosesc pornirea prin rețea, inclusiv centre de date, companii și infrastructuri informatice de mari dimensiuni.
Exploatarea breșei necesită condiții specifice. Atacatorul trebuie să poată transmite mesaje către dispozitivul vizat în timpul pornirii prin rețea, iar pentru executarea cu succes a codului malițios are nevoie de informații despre configurația firmware-ului țintă. Prin urmare, descoperirea nu înseamnă că toate serverele din lume pot fi compromise automat.
Compania Intel a transmis că nu are cunoștință despre produse comerciale aflate în perioada de suport care să fie afectate direct de vulnerabilitate. Arm a precizat, la rândul său, că problema nu se aplică direct portofoliului său de produse. Totuși, integrarea componentelor EDK II de către alți producători poate crea situații diferite, care necesită verificări individuale.
Avertismentul oficial publicat de TianoCore pe 22 octombrie confirmă severitatea critică a vulnerabilității și existența unei soluții de remediere la nivelul codului. Distribuirea actualizărilor către echipamentele utilizate efectiv poate necesita însă intervenția producătorilor de firmware și hardware.
