Kritik EDK2 UEFI açığı çoğu sunucuda önyükleme öncesi kod çalıştırmaya imkân tanıyor

UEFI ağ yığınındaki 16 yıllık overflow

Ars Technica'nın haberine göre, CVE-2026-97631 olarak takip edilen ve 10 üzerinden 9.5 puan alan kritik bir açık, UEFI spesifikasyonunun açık kaynak referans uygulaması olan TianoCore EDK2'de ortaya çıktı. AMI, Insyde ve Phoenix gibi bağımsız BIOS üreticileri donanım yazılımlarını bu kod tabanı üzerine inşa ediyor ve Microsoft'un sertleştirilmiş çatalı olan Project Mu da açık içeren bileşeni taşıyordu — bu yüzden açık, dünyadaki sunucuların ve veri merkezlerinin büyük bir kısmına ulaştığı olarak nitelendiriliyor.

Hata, makineler yerel ağ üzerinden alınan kodla önyükleme yaptığında kullanılan PXE Base Code sürücüsündeki (NetworkPkg/UefiPxeBcDxe) bir buffer overflow ve reportedly 16 yıldır mevcut. Bu önyükleme öncesi aşamada sürücü ICMP hata mesajlarını dinliyor ve her birini sabit 504 baytlık Mode.IcmpError alanına kopyalıyor. Danışma belgesine göre kopyalama döngüsü hem IPv4 hem de IPv6 işleyicilerinde (PxeBcIcmpErrorDpcHandle ve PxeBcIcmp6ErrorDpcHandle) sınırları yanlış ele alıyor: 504 bayttan uzun mesajlar yine de kopyalanıyor ve hedef işaretçisi parça başına değil kümülatif uzunlukla ilerlediğinden, aşırı boyutlu bir mesaj saldırgan kontrollü baytları alanın ötesine yazıyor. Alma yolunda mesaj boyutunu sınırlayan hiçbir şey yok.

Savunmalar yüklenmeden kod çalıştırma

Aşırı boyutlu bir ICMP hatası, hedefin IP adresine düz unicast olarak — herhangi bir ağ uzaklığından — gelebilir; yeter ki PXE önyükleme dizisi sırasında ulaşsın. Ars Technica, basit bir aşırı boyutlu mesajın önyükleme sürecini dondurarak hizmet reddine yol açabileceğini belirtiyor. Hedefin tam donanım yazılımı derlemesini bilen bir saldırgan daha da ileri giderek UEFI ortamının içinde, CPU'nun en ayrıcalıklı düzeyi olan ring 0'da kod çalıştıran bir "sahte olay" yerleştirebilir.

Bu kod işletim sisteminden ve Secure Boot ile TPM gibi mekanizmalar devreye girmeden önce yürütüldüğü için önyükleme güven zincirinin dışında çalışır. Dragos'un baş araştırma sorumlusu HD Moore, Ars Technica'ya verdiği demeçte, önyükleme süreci hâlâ TPM'ye erişebiliyorken bir saldırganın program akışını ele geçirebileceğini ve yalnızca kısa süreli ağ erişimiyle disk şifrelemesini potansiyel olarak alt edebileceğini — donanım fiziksel olarak çalındığında ise bunu daha kolay yapabileceğini söyledi. Bu yolla teslim edilen yükler kalıcılığa sahip değil ve yalnızca bir kez çalışıyor, ancak her önyüklemede yürütülen diğer bileşenler için bir hazırlık adımı olarak hizmet edebilir. Sömürü ayrıca, donanımın güvenilir olduğunu uzaktaki taraflara kriptografik olarak kanıtlamak için tasarlanan kanıtlama (attestation) denetimlerini de atlatıyor.

Embargo erken çöktü

Açığı keşfeden Anthropic'ten Alex Matrosov ve Google'dan Dan Holmes, Ocak ayı için eşgüdümlü bir ifşa ayarlamıştı. Bu plan, AMI'nin geçen ay yamayı içeren bir pull request yayımlamasıyla çöktü; bu da açıkta etkili biçimde ortaya çıkardı. TianoCore geçen hafta kamuoyuna açık bir danışma belgesiyle geldi. Yamayı oluşturan kod artık herkesin erişimine açık olduğundan Ars Technica, deneyimli saldırganların tetikleyiciyi yeniden yapılandırıp çalışan exploit'ler oluşturmasını önemsiz bulacağı, buna karşılık sabitlenmiş donanım yazılımını binlerce üretici ve bulut sağlayıcısındaki milyonlarca cihaza dağıtmanın yavaş ve zahmetli olduğu uyarısında bulunuyor. Haber, bu kez PHP'deki kritik bir açığı içeren bir başka hatalı ifşadan altı gün sonra geliyor.

Saldırganlar üzerindeki kısıtlar

Sömürünün gerçek ön koşulları var. Yerel ağ üzerinde bir miktar denetim ya da düşük düzeyli erişim gerekiyor; bu da içeriden kişilere ya da ayrıcalık yükseltmek isteyen devlet aktörleri ve fidye yazılımı grupları gibi iyi kaynaklı aktörlere işaret ediyor. Ars Technica, açığın bir ağa ilk giriş noktası olarak çalıştığına dair kanıt olmadığını bildiriyor. Eclypsium'dan baş araştırmacı Jesse Michael da yayına, bir saldırganın hedefe özgü bellek adreslerini tahmin etmesi ve exploit'i her modele, sürüme ve yapılandırmaya göre ayarlaması gerektiğini, dolayısıyla bunun çeşitli cihazlarda evrensel tek atımlık bir exploit olmadığını söyledi — ancak daha önceki several yüksek profilli UEFI açıklarının aksine bunun basit bir yamayla giderilebileceğini belirtti.

Neden önemli

CVE-2026-97631, PixieFail, LogoFail, PKFail, BootHole ve BlackLotus'a katılarak işletim sistemi savunmaları henüz mevcut olmadan yürütülen donanım yazılımı düzeyindeki açıkların büyüyen dizisine ekleniyor. EDK2 üzerinden ulaşması yama yüzeyini devasa hale getiriyor ve Moore, birçok cihaz hiç donanım yazılımı güncellemesi almadığı için bu açığın destek sonu sistemlerde bir "sonsuz" hata olarak yaşamaya devam etmesini bekliyor. Erken çöken embargo, savunmacıların fiilen hiçbir önde başlamadığı anlamına geliyor. Dikkat çekici olan, PixieFail'den sonra EDK2'de benzer açıkları taramak için başlatılan fuzzing çabalarının bunu ortaya çıkarmamış olması; bu da neredeyse her sunucunun önyüklemede güvendiği kodda kaç tathlı daha eski hatanın kaldığı sorusunu gündeme getiriyor.