Συναγερμός στην κυβερνοασφάλεια: Κρίσιμη ευπάθεια στο UEFI firmware απειλεί τους περισσότερους servers παγκοσμίως

Παγκόσμιος συναγερμός έχει σημάνει στις ομάδες κυβερνοασφάλειας και διαχείρισης υποδομών cloud, μετά την αποκάλυψη μιας εξαιρετικά κρίσιμης ευπάθειας στο firmware εκκίνησης (UEFI) που χρησιμοποιείται από τη συντριπτική πλειονότητα των διακομιστών και των κέντρων δεδομένων στον πλανήτη. Το κενό ασφαλείας, το οποίο συγκεντρώνει δείκτη επικινδυνότητας 9,5 στα 10, επιτρέπει την εκτέλεση κακόβουλου κώδικα στα βαθύτερα επίπεδα του υλικού, πριν καν φορτωθεί το λειτουργικό σύστημα.

Η ανατομία της ευπάθειας CVE-2026-97631

Το πρόβλημα εντοπίζεται στο TianoCore EDK II, το ανοιχτού κώδικα θεμέλιο που χρησιμοποιούν σχεδόν όλοι οι ανεξάρτητοι προμηθευτές BIOS/UEFI —όπως οι AMI, Insyde και Phoenix— καθώς και το Project Mu της Microsoft. Η ευπάθεια, καταγεγραμμένη ως CVE-2026-97631, αποτελεί ένα σφάλμα υπερχείλισης μνήμης (buffer overflow) ηλικίας 16 ετών στον οδηγό PXE-Base Code. Ο συγκεκριμένος οδηγός επιτρέπει σε διακομιστές να εκκινούν μέσω τοπικού δικτύου.

Κατά τη διάρκεια αυτής της διαδικασίας (PXE boot), ο ελεγκτής αποτυγχάνει να επιβάλει όριο 504 bytes στα εισερχόμενα μηνύματα σφάλματος ICMP. Ένας εισβολέας με πρόσβαση στο τοπικό δίκτυο μπορεί να στείλει ειδικά διαμορφωμένα πακέτα unicast, προκαλώντας την εγγραφή κακόβουλου κώδικα στη μνήμη. Το αποτέλεσμα είναι η εκτέλεση κώδικα στο Ring 0 —το υψηλότερο επίπεδο προνομίων του επεξεργαστή— παρακάμπτοντας πλήρως μηχανισμούς ασφαλείας όπως το Secure Boot και ακυρώνοντας την αλυσίδα εμπιστοσύνης του Trusted Platform Module (TPM).

Πρόωρη διαρροή και άμεσος κίνδυνος εκμετάλλευσης

Την ευπάθεια ανακάλυψαν ο Άλεξ Ματρόσοφ από την Anthropic και ο Νταν Χολμς από τη Google, οι οποίοι είχαν συμφωνήσει σε ένα συντονισμένο πρόγραμμα δημοσιοποίησης για τον Ιανουάριο. Ωστόσο, μια δημόσια υποβολή κώδικα (pull request) από την AMI, η οποία περιείχε την επιδιόρθωση και λεπτομέρειες του προβλήματος, διέρρευσε πρόωρα τη φύση του κενού, αναγκάζοντας τους διαχειριστές του TianoCore να εκδώσουν εσπευσμένα δημόσια οδηγία ασφαλείας.

Όπως επεσήμανε ο Έιτς Ντι Μουρ, δημιουργός του Metasploit και επικεφαλής ερευνών στην εταιρεία ασφαλείας Dragos, το σφάλμα προσφέρει στους εισβολείς τη δυνατότητα να παραβιάσουν κρίσιμα εξαρτήματα κατά την εκκίνηση, γεγονός που θα μπορούσε να οδηγήσει ακόμη και στην παράκαμψη της κρυπτογράφησης δίσκων σε περιπτώσεις τοπικής ή φυσικής πρόσβασης.

Η τεράστια πρόκληση των ενημερώσεων firmware

Με τον κώδικα της επιδιόρθωσης πλέον διαθέσιμο στο διαδίκτυο, θεωρείται ζήτημα χρόνου να αναπτύξουν οι κυβερνοεγκληματίες λειτουργικά εργαλεία επίθεσης (exploits). Η κατάσταση περιπλέκεται δραματικά από το γεγονός ότι η διανομή και εγκατάσταση ενημερώσεων firmware σε εκατομμύρια servers παγκοσμίως αποτελεί μια εξαιρετικά περίπλοκη, χρονοβόρα και ευαίσθητη διαδικασία για τα εταιρικά περιβάλλοντα, αφήνοντας τις παγκόσμιες ψηφιακές υποδομές εκτεθειμένες για παρατεταμένο χρονικό διάστημα.