UEFI韌體漏洞曝露多數伺服器開機階段可遠端執行惡意程式

\n \n \n \n 打破信任鏈\n \n

\n 關鍵缺陷在 EDK2 允許攻擊者在啟動過程早期執行程式碼。\n

\n 來源:\n\n \n Getty Images\n\n \n

全球的防禦者再次面臨回應一次執行程式碼漏洞的負擔，這一次是出現在大多數全球伺服器供應商與資料中心使用的啟動時韌體中。

該漏洞的嚴重性評分為 10 分中的 9.5，存在於 TianoCore EDK II，這是一個開源程式碼庫，硬體製造商與雲端供應商使用它來開發在啟動序列中執行的 UEFI 韌體。去年，UEFI Forum 的一位代表稱 EDK2 為「UEFI 規範的首屈一指的解決方案 / 實作」。幾乎所有 UEFI 供應商（有時仍稱為 IBV 或獨立 BIOS 供應商），包括 AMI、Insyde 與 Phoenix，都大量使用參考程式碼。Project Mu，即 Microsoft 的加固版 EDK2 分支，也使用了包含該漏洞元件的程式碼。

該漏洞（CVE-2026-97631）是一個在 ICMP 元件中的記憶體破壞缺陷，攻擊者可利用它執行惡意程式碼，該程式碼在作業系統與韌體能實施防禦（如 Secure Boot）之前執行，Secure Boot 為所有程式碼（包括在啟動時載入的 Trusted Platform Module (TPM)）建立信任鏈。雖然 CVE-2026-97631 所交付的最終 payload 沒有永續性——即只執行一次——但它們能為攻擊者提供寬廣的視窗，以安裝其他每次啟動早期都會執行的 payload。

貓已離開袋子

發現 CVE-2026-97631 的雙方——Anthropic 的 Alex Matrosov 與 Google 的 Dan Holmes——已安排在 1 月份的協調披露之前保持低調。AMI（主機板及其他硬體製造商）上個月發布了這個 pull request，詳細說明瞭漏洞並提供了程式碼修正。當該貼文被發現方注意到後，TianoCore 專案成員於上週發布了公開諮詢。

由於修補程式碼公開可得，進階駭客很容易瞭解漏洞觸發機制並構建可用的利用程式。加劇緊迫性的因素是，在數以百萬計的終端裝置（由數千家硬體製造商和雲端供應商銷售與使用）中修補 UEFI 程式碼漏洞既繁瑣又耗時。此漏洞訊息釋出的同時，六天前另一場失敗的披露事件曝光，該事件涉及 PHP 程式語言中的關鍵執行漏洞。

"EDK2 網路堆疊中的 ICMP 解析器漏洞在影響信任鏈和更廣泛的生態系統方面非常有趣，" Metasploit 建立者及安全公司 Dragos 的首席研究官 HD Moore 表示。"如果攻擊者意圖破壞附近的端點或伺服器，可能利用此漏洞在啟動流程仍可存取敏感元件（如端點的 TPM）時劫持程式流程。這可用於破解磁碟加密，當攻擊者擁有短期網路存取時（在盜竊情境下更為容易）。"

CVE-2026-97631 是一個已存在 16 年的緩衝區溢位漏洞，存在於 PXE-Base Code 驅動程式 (NetworkPkg/UefiPxeBcDxe)，該驅動負責允許伺服器、儲存裝置及其他裝置透過從本地網路下載的程式碼來啟動。在此過程——稱為預執行環境啟動——中，驅動使用網路監聽器監控 ICMP 錯誤。由於驅動未強制執行 504 位元組的記憶體複製限制，覆寫相鄰資料，一名惡意內部人員或已取得本地網路低階存取權的駭客可以傳送一則錯誤訊息，將程式碼附加至此限制之外。執行於 CPU 上的 IUEFI 模組隨即變為損毀。

正如官方通報所說：

在網路啟動時，PXE Base Code 驅動程式 (NetworkPkg/UefiPxeBcDxe) 會為 ICMP 錯誤訊息保留一個接收請求，並將每個收到的訊息複製到其私有上下文結構中的固定 504 位元組欄位 Mode.IcmpError。無論是 IPv4 還是 IPv6 處理程式 (PxeBcIcmpErrorDpcHandle 與 PxeBcIcmp6ErrorDpcHandle) 的複製迴圈邊界處理皆不正確：對於長度超過 504 位元組的訊息，它仍會將位元複製進該欄位，且它以累計長度而非每個片段長度來移動目的指標，導致過大的訊息會寫入受攻擊者控制的位元到欄位之外。接收路徑上並未有任何早期限制訊息長度的機制。

惡意錯誤可透過簡單的單播方式傳送，從任何網路距離傳送至目標裝置的 IP 位址，只要在 PXE 啟動序列期間送出。攻擊者可藉此造成服務拒絕，讓啟動序列掛起。若攻擊者知道目標韌體的建置版本，便能植入「偽造事件」，於其 UEFI 韌體環境中於 CPU 執行惡意程式碼。該程式碼以 ring 0 執行，即 CPU 最特權的執行層級。由於此類利用能繞過設計用於以加密方式證明硬體安全的驗證流程，故為提升有限許可權提供關鍵機會。

又一個永遠的日子

CVE-2026-97631 加入了長期以來在 UEFI 或與其緊密合作的程式碼中發現的眾多漏洞之列。其最嚴重者為 LogoFail，源於幾乎所有硬體製造商的 UEFI 中包含的 logo 影像。渲染錯誤使攻擊者能夠顛覆 UEFI 所強制的信任鏈，並在作業系統載入或 Secure Boot 執行前安裝惡意元件。PixieFail 是一個類似 CVE-2026-97631 的漏洞，同樣是 EDK2 中 PXE 啟動缺陷所致。漏洞被發現後，研究人員展開了 multiple fuzzing projects，旨在揭露開源程式庫中的其他關鍵缺陷。看來這些努力未能發現此最新漏洞。

其他近期發現的 UEFI 漏洞包括：

PKFail，一個供應鏈失效，源於非生產測試平臺金鑰，已公開超過十年才被發現，並被用於數百個裝置型號。
BootHole
Bootkit 和
BlackLotus

就像 CVE-2026-97631 一樣，利用或使用這些 payload 的吸引力在於它能讓攻擊者在啟動過程早期感染機器，即在 TPM 及其他防禦機制載入之前，從而造成最大損害。鑒於 CVE-2026-97631 的普遍性，Moore 說這很可能是一個「永遠」存在的漏洞，將在終止支援的系統中持續存在。

利用此最新漏洞存在重要的限制與條件。如前所述，必須具備一定程度的本地網路控制權，這通常限制了利用範圍於內部人士或攻擊者，例如國家行為者或勒索軟體運營者，他們能在網路內取得低階存取權並尋求提升系統許可權的途徑。目前尚無證據顯示 CVE-2026-97631 能提供進入網路的初始入口。還有其他障礙需要克服。

「在利用此漏洞本身時，攻擊者需要猜測目標系統內的特定地址，因此並非可以對任何目標投擲單一 exploit 並在多種裝置上取得 RCE；而是必須針對每個目標的型號/版本/組態進行調整，因為地址會因這些而變化。」韌體安全公司 Eclypsium 的首席研究員 Jesse Michael 向 Ars 報告說。「與之前的高調漏洞如 BootHole、Black Lotus 及 Baton Drop 不同，此漏洞可透過基本程式碼修正來修復，僅需部署 BIOS/UEFI 更新；不需要處理撤銷、pk/kek/db/dbx 金鑰管理更新，或確保更新作業系統與配置媒體，就像你在啟動載入器中處理 Secure Boot 旁路時所做的一樣。」

CVE-2026-97631 不影響家庭和小型辦公室使用者，亦不影響僅從磁碟驅動器啟動裝置的其他使用者。相反，它僅適用於從本地網路啟動機器，或可從網際網路連結資源啟動的組織。即便如此，目標韌體仍必須依賴 EDK2，而非其他參考實作，並使用 PXE 功能（預設已啟用）。

在一封電子郵件中，英特爾表示其「目前仍在安全支援中的商業產品」均未被確認受影響。公司補充說：「英特爾在其參考程式碼中未包含受影響的 EDK2 功能，儘管 OEM 板卡供應商或系統製造商可能已將其整合。」並建議客戶向其系統製造商尋求具體指引。公開可取得的 Intel 參考程式碼仍提及 EDK2。進一步說明，TianoCore 表示每一套英特爾提供的 UEFI 開發工具包「都是經過完整驗證的……針對特定版本的 EDK II 原始碼」。許多其他英特爾檔案亦引用 EDK2。

Arm 方面則對一系列問題作出回應："CVE-2026-97631 並不直接適用於 Arm 的產品組合。"與 Intel 類似，韌體，該公司製作的可用版本亦大量借鑒 EDK2。TianoCore 亦已記錄 Arm 對 EDK2 的依賴。

雖然有些平臺可能不包含 EDK2 程式碼，但對於所有伺服器使用者，審查 CVE-2026-97631 是否影響仍是明智之舉。

向 AMD、Phoenix Technologies、AMI、Microsoft 與 Amazon（以及其他受影響的大型組織）提出的問題，在此貼文釋出時未得到回覆。若無關於這些組織使用 EDK2 的具體答案，就無法說明哪些裝置受到影響以及這些組織或其使用者應採取何種行動。TianoCore 專案的代表亦未回覆。

部分讀者可能會對缺乏細節感到不滿。有時——尤其是在涉及失敗披露、提前數月違反禁運的情況下——初期報導中無法避免缺乏可行資訊的問題。

受影響者應向其系統所使用韌體的製造商查詢並尋求指導。除此之外，若可能，應至少暫時關閉網路啟動功能。韌體設定應盡可能啟用 TPM、Secure Boot 等安全功能，儘管這些防禦無法抵禦此特定威脅。監控日誌以偵測利用嘗試也是個不錯的做法。

Dan Goodin 是 Ars Technica 的資深安全編輯，負責監督惡意軟體、電腦間諜、僵屍網路、硬體駭客、加密與密碼的報導。空閒時，他喜歡園藝、烹飪以及追蹤獨立音樂。Dan 住在舊金山。你可以在 Mastodon 上這裡追蹤他，也可以在 Bluesky 上這裡。透過 Signal 聯絡他：DanArs.82。

27則評論