UEFIファームウェアのコード実行脆弱性、地球上のほとんどのサーバーを脅かす
Code-execution flaw in UEFI firmware threatens most servers on planet Earth (arstechnica.com)
要約
EDK2（TianoCore）のUEFIファームウェアに、ブートプロセスの初期段階でコード実行を可能にする深刻な脆弱性（CVE-2026-97631）が発見されました。この脆弱性は、ネットワーク経由でブートするサーバーに影響を与え、攻撃者がオペレーティングシステムやSecure Bootなどの防御策が有効になる前に悪意のあるコードを実行できる可能性があります。この脆弱性は既に公開されており、パッチコードも利用可能ですが、数百万台のデバイスへの適用は困難を極めます。
全文翻訳
UEFIファームウェアのコード実行脆弱性、地球上のほとんどのサーバーを脅かす
信頼の連鎖を断ち切る
EDK2の深刻な脆弱性により、攻撃者はブートプロセスの初期段階でコードを実行可能
クレジット: Getty Images
世界中の防御担当者は、今回もまた不適切なコード実行脆弱性への対応に追われています。今回は、世界のほとんどのサーバーベンダーやデータセンターで使用されているブートタイムファームウェアに影響するものです。
深刻度9.5/10と評価されるこの脆弱性は、ハードウェアメーカーやクラウドプロバイダーがブートシーケンス中に実行されるUEFIファームウェアを作成するために使用するオープンソースコードベースであるTianoCore EDK II に存在します。昨年、UEFI Forumの代表者はEDK2をUEFI仕様の「最も優れたソリューション/実装」と呼んでいました。AMI、Insyde、Phoenixを含むほぼすべてのUEFIサプライヤー（時にはIBVまたは独立BIOSベンダーとも呼ばれます）は、このリファレンスコードを広範に使用しています。Project Mu、Microsoftの強化されたEDK2フォークも、脆弱なコンポーネントを含むコードを使用していました。
CVE-2026-97631として追跡されているこの脆弱性は、ICMP コンポーネントにおけるメモリ破損の欠陥であり、攻撃者はこれを利用して、オペレーティングシステムやファームウェアがSecure Boot（ブート中にロードされるTrusted Platform Module（TPM）を含むすべてのコードの信頼の連鎖を確立する）などの防御策を実装する前に実行される悪意のあるコードを実行できます。CVE-2026-97631によって配信される最終的なペイロードは永続性がなく、一度しか実行されませんが、攻撃者にブートプロセスの初期段階で実行される他のペイロードをインストールするための広範な機会を与える可能性があります。
袋の猫が逃げ出した
CVE-2026-97631を発見したAnthropicのAlex Matrosov氏とGoogleのDan Holmes氏は、当初1月に予定されていた協調開示まで、この件を伏せておく手配をしていました。マザーボードなどのハードウェアメーカーであるAMIは、先月、脆弱性の詳細とコード修正を含むこのプルリクエストを公開しました。この投稿が発見者たちの目に留まった後、TianoCore Projectのメンバーは先週、公開アドバイザリを公開しました。
公開されているパッチコードがあれば、高度なハッカーは脆弱性がどのようにトリガーされるかを簡単に学習し、動作するエクスプロイトを作成できます。さらに緊急性を高めているのは、数百万台の最終デバイスに存在するUEFIコードの脆弱性をパッチすることであり、これは数千のハードウェアメーカーやクラウドプロバイダーによって販売・使用されており、手間と時間がかかります。この脆弱性の情報は、別の不適切な開示からわずか6日後に発表されました。その開示は、PHPプログラミング言語における深刻なコード実行脆弱性に関するものでした。
Metasploitの作成者でセキュリティ企業Dragosの最高研究責任者であるHD Moore氏は、「EDK2ネットワークスタックのICMPパーサーにおけるこの脆弱性は、信頼の連鎖やより広範なエコシステムにどのように影響するかという点で興味深い」と述べています。「近くのエンドポイントまたはサーバーを侵害しようとする攻撃者は、このバグを使用して、ブートプロセスがまだエンドポイントのTPMのような機密コンポーネントにアクセスできる段階でプログラムフローを乗っ取ることができます。これは、攻撃者が短期間のネットワークアクセスを持っている場合のディスク暗号化を破るために使用される可能性があります（盗難シナリオではさらに容易になります）。」
CVE-2026-97631は、PXEベースコードドライバ（NetworkPkg/UefiPxeBcDxe）における16年前のバッファオーバーフローであり、サーバー、ストレージ機器、その他のデバイスがローカルネットワークからコードをダウンロードしてブートできるようにする役割を担っています。このプロセス（プリエグゼキューション環境ブートとして知られる）中、ドライバはICMPエラーを監視するネットワークリスナーを使用します。ドライバは504バイトのメモリコピー制限を強制しないため、隣接するデータを上書きする可能性があり、悪意のある内部関係者またはローカルネットワークへの低レベルアクセス権を取得したハッカーは、この制限を超えてコードを付加するエラーメッセージを送信できます。CPU上で実行されているIUEFIモジュールは破損します。
公式アドバイザリによると、次のようになります。
ネットワークブート中、PXEベースコードドライバ（NetworkPkg/UefiPxeBcDxe）はICMPエラーメッセージを受信要求を開いたままにし、受信した各メッセージを固定504バイトフィールドMode.IcmpErrorのプライベートコンテキスト構造にコピーします。コピーループの境界処理は、IPv4およびIPv6ハンドラ（PxeBcIcmpErrorDpcHandleおよびPxeBcIcmp6ErrorDpcHandle）の両方で不正確です。504バイトを超えるメッセージの場合でもフィールドにバイトがコピーされ、宛先ポインタはフラグメントごとの長さではなく累積長で進められるため、オーバーサイズのメッセージは攻撃者が制御するバイトをフィールドを超えて書き込みます。受信パスのそれ以前のものはメッセージ長を制限しません。
悪意のあるエラーは、PXEブートシーケンス中に送信される限り、任意のネットワーク距離からターゲットデバイスのIPアドレスへの単純なユニキャストを介して配信できます。攻撃者は、ブートシーケンスをハングさせることでサービス拒否攻撃を仕掛けることができます。攻撃者がターゲットファームウェアのビルドを知っている場合、「偽のイベント」を仕込み、UEFIファームウェア環境でCPU上で悪意のあるコードを実行させることができます。コードはCPUの最も特権的な実行レベルであるリング0で実行されます。エクスプロイトは、ハードウェアが安全であることをリモートサーバーに暗号学的に証明するように設計されたアテステーションプロセスをバイパスするため、限定的な権限昇格の機会を提供します。
もう一つの永遠の日
CVE-2026-97631は、UEFIまたはそれに密接に関連するコードで以前に発見された多数の脆弱性リストに加わります。その中で最も深刻なLogoFailは、ほぼすべてのハードウェアメーカーのUEFIに含まれるロゴ画像に起因していました。レンダリングバグにより、攻撃者はUEFIが強制する信頼の連鎖を回避し、OSがロードされる前やSecure Bootが実行される前に悪意のあるコンポーネントをインストールすることができました。PixieFailは、CVE-2026-97631に似た脆弱性でした。これもまた、EDK2における欠陥のあるPXEブートの欠陥の結果でした。脆弱性の発見後、研究者たちは、オープンソースコードライブラリにおける他の深刻な欠陥を明らかにするために、複数の ファジング プロジェクト に着手しました。しかし、それらの努力はこの最新の欠陥を見つけることができなかったようです。
最近発見されたその他のUEFI脆弱性には以下が含まれます:
- PKFail、10年以上公開されていた非プロダクションテストプラットフォームキーに起因するサプライチェーンの障害で、数百のデバイスモデルで使用されていました。
- BootHole
- Bootkit
- およびBlackLotus
CVE-2026-97631と同様に、これらのペイロードの悪用または使用は、TPMやその他の防御策がロードされる前に、攻撃者がブートプロセスの早い段階でマシンに感染させることができるため、最大限の損害を与えることが可能になります。CVE-2026-97631の普及度を考えると、Moore氏は、サポート終了システムに残り続ける「永遠の」バグになる可能性が高いと述べています。
この最新の脆弱性を悪用するには、重要な注意点と制限があります。前述のように、ローカルネットワークのある程度の制御が前提となります。これは、攻撃を内部関係者、またはネットワーク内部に低レベルアクセス権を取得し、システム権限の昇格方法を探している攻撃者（国家、ランサムウェアオペレーターなど）に限定する可能性が高いです。CVE-2026-97631がネットワークへの初期侵入ポイントを提供するという証拠はまだありません。他にもクリアすべきハードルがあります。
ファームウェアセキュリティ企業Eclypsiumの主任研究員であるJesse Michael氏はArsに対し、「脆弱性自体を悪用するために、攻撃者はターゲットシステム内の特定のメモリアドレスを推測する必要があります。そのため、単一のエクスプロイトを任意のターゲットに適用して、多様なデバイス間でRCEを取得できるようなものではありません。アドレスは各ターゲットモデル/バージョン/構成によって異なるため、各ターゲットに合わせて調整する必要があります。」と述べています。「BootHole、Black Lotus、Baton Dropのような以前の注目度の高い脆弱性とは異なり、この脆弱性は基本的なコード修正で修正できます。これにはBIOS/UEFIアップデートの展開が必要ですが、リボケーション、pk/kek/db/dbxキー管理アップデート、またはブートローダー自体のSecure BootバイパスのようにOSとプロビジョニングメディアの更新を気にする必要はありません。」
CVE-2026-97631は、ホームユーザーや小規模オフィスユーザー、またはデバイスをディスクドライブからのみブートする他のユーザーには影響しません。代わりに、ローカルネットワークからブートするマシンを持つ組織、またはインターネット接続リソースからブートする可能性のある組織にのみ適用されます。それでも、ターゲットファームウェアは、異なるリファレンス実装ではなくEDK2に依存し、PXE機能（デフォルトで有効になっている）を使用する必要があります。
Intelは電子メールで、現在セキュリティサポート中の同社の「商用製品」には影響があるものは知られていないと述べています。「Intelは、影響を受けるEDK2機能をリファレンスコードに含んでいませんが、OEMボードベンダーまたはシステムメーカーによって統合される可能性があります」と同社は付け加えています。顧客には、特定のガイダンスについてシステムメーカーに確認するようアドバイスしています。しかし、公開されているIntelリファレンスコードはEDK2を参照しています。さらに、TianoCoreは、Intelが提供する各UEFI開発キットは「EDK IIソースの特定の改訂版に対する完全に検証された実装である」と述べています。他の多くのIntelドキュメントもEDK2を参照しています。
一方、Armは質問リストに対し、「CVE-2026-97631はArmの製品ポートフォリオに直接適用されません」と回答しました。Intelと同様に、同社が提供するファームウェアもEDK2を強く借用しています。TianoCoreはまた、ArmのEDK2への依存を文書化しています。
一部のプラットフォームがEDK2コードを含んでいない可能性はありますが、すべてのサーバーユーザーがCVE-2026-97631の影響を受けるかどうかを調査することは賢明です。
AMD、Phoenix Technologies、AMI、Microsoft、Amazon（おそらく影響を受ける他の最大の組織のいくつか）に送られた質問は、この投稿が公開された時点では回答がありませんでした。これらの組織のような組織によるEDK2の使用に関する質問に対する具体的な回答がないため、どのデバイスがどのように影響を受けているか、そしてこれらの組織またはそのユーザーがどのような行動を取るべきか（もしあれば）を判断することは不可能です。TianoCore Projectの代表者も返答しませんでした。
一部の読者は、詳細の欠如に不満を感じるでしょう。特に、開示が embargo を数ヶ月前に破るような不適切な開示が関係するケースでは、初期報道における実行可能な情報の欠如から逃れることはできません。
影響を受けるユーザーは、システムのブートに使用されているファームウェアのメーカーに確認し、ガイダンスを求めるべきです。それ以外の場合は、可能であれば少なくとも一時的にネットワークブート機能を無効にすることを検討すべきです。ファームウェア設定は、TPMやSecure Bootなどのセキュリティ機能を常に可能な限り有効にすべきですが、それらの防御策はこの特定の脅威からは保護されません。また、悪用試行の兆候がないかログを監視することも良い考えです。
Dan GoodinはArs Technicaのシニアセキュリティエディターであり、マルウェア、コンピュータ諜報活動、ボットネット、ハードウェアハッキング、暗号化、パスワードの報道を担当しています。余暇には、ガーデニング、料理、インディーズ音楽シーンを追うことを楽しんでいます。Danはサンフランシスコを拠点としています。Mastodonではこちら、Blueskyではこちらで彼をフォローしてください。SignalではDanArs.82で連絡できます。