EDK II'de, donanım üreticilerinin çoğunun UEFI yazılımı oluşturmak için kullandığı açık kaynak kodda bulunan 16 yıllık kritik bir açık, makine işletim sistemi yüklenmeden önce saldırganın kod çalıştırmasına olanak tanıyabiliyor; ancak bu yalnızca makine ağ üzerinden önyükleme yaparken gerçekleşiyor.
UEFI yazılımı, bilgisayar açıldığında işletim sisteminden önce çalışan yazılımdır. Ağ üzerinden önyükleme sırasında hazırlanmış bir ağ mesajıyla makineye ulaşabilen bir saldırgan önyüklemeyi durdurabilir ya da tam firmware yapısına özgü çalışma ile Secure Boot ve diğer başlatma savunmaları yüklenmeden önce kendi kodunu çalıştırabilir.
Saldırganın şifreye ya da makineye mevcut erişime ihtiyacı yok; tek gereksinim, makinenin bu şekilde önyükleme yaptığı kısa pencerede ağ üzerinden erişilebilmesi.
Etkilenen kodu dağıtan Red Hat ve SUSE, açığı açık internet yerine bitişik ağ konumundan istismar edilen bir risk olarak değerlendirdi.
EDK II'nin arkasındaki proje olan TianoCore, 22 Ekim'de bir danışma yayınladı ve CVE-2026-97631 olarak izlenen açığa 10 üzerinden 9,5 puan verdi. Kaynak koda bir düzeltme eklendi ancak EDK II'nin kararlı bir sürümü bunu henüz içermiyor ve danışma yama sürümü olarak hiçbir şey listelemiyor; bu nedenle çoğu kullanıcı bugün kurabileceği bir şey bulamıyor.
Açığın Saldırgana Sağladığı Yetkiler
Açık, EDK II'nin PXE olarak bilinen ağ-önyükleme kodunda bir tampon taşmasıdır. PXE önyüklemesinde makine, yerel disk yerine başlangıç görüntüsünü ağdan yükler.
Bu kopyalama sırasında IPv4 ve IPv6 sürümlerinde boyut kontrolleri yanlış yapılmıştır; bu yüzden 504 bayt'tan uzun bir mesaj alanın dışına taşar ve yakındaki belleği saldırganın seçtiği verilerle üzerine yazar.
Bunu tetiklemek için saldırganın, makine ağ önyüklemesinin ortasında iken tek bir hazırlanmış hata mesajını makinenin adresine göndermesi yeterli. Şifre ya da mevcut erişim gerekmiyor.
Basit sonuç bir çökmedir: önyükleme takılır ve makine başlamaz. Kodun çalıştırılması çok daha zor ve çok daha az güvenilirdir. Danışmaya göre, tam firmware yapısını bilen bir saldırgan "sahte bir olay" yerleştirebilir ve firmware'in saldırganın kendi kodunu çalıştırmasına neden olabilir; dolayısıyla bir istismar belirli bir yapı için oluşturulmalıdır.
Kod çalıştığında, Secure Boot ve diğer başlatma kontrolleri herhangi bir şeyi doğrulamadan önce firmware içinde çalışır. Bu zamanlama açığı ciddi kılan şeydir.
Bu şekilde yerleştirilen kod yalnızca bir kez çalışır ve tek başına yeniden başlatmadan sonra kalmaz. Tek seferlik çalışma bile her başlatmada başlayan başka bir kodun kurulması için yeterlidir.
Kimler Etkileniyor
Hata, 21 Ağustos tarihli en yeni kararlı sürüm olan edk2-stable202608 dahil EDK II'de bulunur. EDK II, bağımsız BIOS üreticileri AMI, Insyde ve Phoenix'in yanı sıra Microsoft'un sertleştirilmiş çatalı Project Mu da dahil olmak üzere neredeyse her UEFI firmware üreticisinin üzerine inşa ettiği referans koddur.
Hatalı kopyalama döngüsü, Kasım 2010'da eklenen bir taahhütle kodda bulunuyormuş; The Hacker News bunu projenin geçmişini izleyerek buldu.
PXE ağ önyüklemesi, EDK II'nin standart yapısında varsayılan olarak açıktır. Yalnızca yerel diskten önyükleme yapan ev ya da ofis kullanıcılarını etkilemez. Ağ üzerinden önyükleme yapan kuruluşların makinelerini, özellikle sunucuları ve veri merkezi ekipmanlarını etkiler.
Hangi gönderilen ürünlerin savunmasız kodu taşıdığı bilinmiyor. Intel, Ars Technica'ya "güvenlik desteği altında olan ticari ürünlerinin" etkilenmediğini bildiğini ve "referans kodunda etkilenen EDK2 işlevselliğini içermediğini" söyledi; ancak bir OEM anakart üreticisi ya da sistem üreticisi bunu ekleyebilir.
Arm, açığın "Arm'ın ürün portföyüne doğrudan uygulanabilir olmadığını" söyledi. Her iki şirketin kendi firmware'i de EDK II'den besleniyor.
Linux dağıtımları da kodu gönderiyor. Red Hat, edk2 paketini Red Hat Enterprise Linux 8, 9 ve 10'da etkilenen ve henüz düzeltilmemiş olarak listeliyor; SUSE ve Debian da eşdeğer paketlerini aynı şekilde işaretliyor.
AMD, Phoenix Technologies, AMI, Microsoft ve Amazon, yayınlanmadan önce teknoloji haber sitesinin sorularını yanıtlamadı ve TianoCore da yanıt vermedi; bu nedenle ürünlerinin durumu belirsiz kaldı.
Bir Düzeltme Var mı?
EDK II kaynak koduna bir düzeltme birleştirildi. Hatalı kopyalama yeniden yazıldı; aşırı boyutlu mesaj 504 baytta kesiliyor ve taşmıyor; düzeltme 15 Ekim'de ana geliştirme dalına ulaştı.
EDK II'nin kararlı bir sürümü bu düzeltmeyi henüz içermiyor. The Hacker News, 28 Ekim'de projenin sürüm etiketlerini kontrol etti ve en yenisi olan edk2-stable202608'in bundan önce geldiğini buldu; danışma yama sürümünü hâlâ "Şu anda yama yok" olarak listeliyor. Microsoft'un Project Mu'su düzeltmeyi sürüm dallarına zaten çekti ve 26 Ekim'de etiketli derlemeler yayınladı.
Düzeltme kaynakta açık olsa bile, bir sunucu operatörünün firmware üreticisi bunun üzerine inşa edilmiş bir BIOS ya da UEFI güncellemesi gönderene kadar kurabileceği bir şey yok. Bu adım en azından doğrudan; firmware güvenliği firması Eclypsium'da baş araştırmacı olan Jesse Michael, Ars Technica'ya verdiği demeçte, BootHole ve BlackLotus gibi Secure Boot atlama yöntemlerinin aksine açığın "temel bir kod düzeltmesiyle giderilebileceğini" ve sertifika ya da anahtar iptali gerektirmediğini söyledi.
Güncelleme gelene kadar danışma bir geçici çözüm listelemiyor. Açığa yalnızca ağ önyüklemesi sırasında ulaşılabildiğinden, PXE'ye ihtiyacı olmayan operatörler maruziyeti azaltmak için bunu devre dışı bırakabilir. Ars ayrıca başlatma zamanı ağ trafiğini ve günlüklerini denemelerin işaretleri açısından izlemeyi önerdi.
Açık Nasıl Herkese Açıklandı
Danışma, açığın Anthropic'ten Alex Matrosov ve Google'dan Dan Holmes-Mitra tarafından bulunduğunu belirtiyor. Koordineli bir açıklama için Ocak 2027 planlanmıştı.
Bu plan, 28 Eylül'de bir AMI mühendisi tarafından onaylanan ve açığı CVE numarasıyla açıkça tanımlayan ve düzeltmeyi içeren EDK II'ye gönderilen bir çekme isteğiyle bozuldu. Bulunan kişiler gönderiyi görünce TianoCore, planlanan tarihten haftalar önce 22 Ekim'de danışmasını yayınladı.
Yama açık olunca Ars, yetenekli saldırganların nasıl tetiklendiğini anlamak ve çalışan istismarlar oluşturmak için onu inceleyebileceğini kaydetti.
Açığın saldırıda kullanıldığına dair bir işaret yok. 27 Ekim güncellemesi itibarıyla CISA'nın Bilinen İstismar Edilen Kırılganlıklar kataloğunda değildi ve hiçbir araştırmacı istismar edildiğini bildirmemiş.
Ars Technica, birkaç firmware araştırmacısına sorular yönelttikten sonra açığın tek başına bir ağa giriş yolu olmadığını bildirdi. Gerçekçi saldırgan, içeriden bir kişi ya da yerel ağda düşük seviyeli bir tutunma elde etmiş ve daha derine inmek isteyen biridir.
Metasploit'in yaratıcısı ve güvenlik firması Dragos'ta baş araştırma sorumlusu HD Moore, Ars Technica'ya yaptığı yorumda "Yakındaki bir uç noktayı ya da sunucuyu tehlikeye atmak isteyen bir saldırgan, bu hatayı, önyükleme sürecinin hâlâ uç noktanın TPM'si gibi hassas bileşenlere erişimi olduğu bir noktada program akışını ele geçirmek için kullanabilir" dedi.
"Bu, saldırganın kısa süreli ağ erişimi olduğu durumlarda disk şifrelemesini kırmak için kullanılabilir ve bir hırsızlık senaryosunda daha da kolay olur."
Bu, EDK II'nin ağ-önyükleme kodundaki ilk ciddi açık değil. Ocak 2024'te araştırmacılar, aynı EDK II parçasında ve PXE önyüklemesi sırasında erişilebilen dokuz açık içeren PixieFail'i açıkladı. Ars, PixieFail'den sonra kodda daha fazla hata bulmak için başlatılan karalama projelerinin bunu yakalayamadığını bildirdi.
