Sunucuların çoğunun ürün yazılımında kullanılan UEFI kodu EDK II'de ağ üzerinden önyükleme sırasında kod çalıştırmaya izin veren açık

UEFI ürün yazılımlarının geliştirilmesinde kullanılan açık kaynak kod EDK II’yi yöneten TianoCore projesi, 22 Ekim’de ağ üzerinden önyükleme sürücüsündeki kritik bir açık için güvenlik bildirisi yayımladı. CVE-2026-97631 numaralı açığın CVSS 4.0 puanı 9.5. Bildiriye göre açığı Anthropic’ten Alex Matrosov ve Google’dan Dan Holmes-Mitra buldu ve önerilen düzeltmeyi de onlar hazırladı. SecurityWeek’in 30 Ekim’de Ars Technica’ya dayanarak aktardığına göre EDK II’yi dünyadaki sunucu üreticilerinin ve veri merkezlerinin çoğu AMI, Insyde ve Phoenix gibi ürün yazılımı sağlayıcıları üzerinden kullanıyor, bu yüzden açık dünyadaki sunucuların çoğunu etkiliyor.

Açığın kaynağı

TianoCore’a göre bir makine IPv4 ya da IPv6 üzerinden PXE ile önyükleme yaparken, PXE sürücüsü (NetworkPkg/UefiPxeBcDxe) gelen ICMP hata mesajlarını 504 baytlık sabit bir alana kopyalıyor. Kopyalama döngüsündeki sınır kontrolü hem IPv4 hem IPv6 işleyicisinde hatalı. 504 bayttan uzun bir mesaj geldiğinde sürücü kopyalamayı sürdürüyor ve yazacağı konumu her parçanın uzunluğu kadar değil toplam uzunluk kadar ilerletiyor. Böylece uzun bir mesaj, saldırganın belirlediği baytları bu alanın dışına yazıyor. Alım yolunda mesaj uzunluğunu sınırlayan başka bir kontrol de yok.

Etkisi

TianoCore’a göre saldırganın giriş bilgisine ihtiyacı yok. Saldırgan, PXE ile önyükleme yapan makinenin IP adresine tek bir ICMP hata mesajı ulaştırabildiği sürece herhangi bir ağ uzaklığından saldırabiliyor. Saldırı yalnızca PXE önyüklemesinin sürdüğü süre içinde mümkün. Bildiriye göre açık en azından önyüklemenin kilitlenmesine, yani işletim sisteminin kurulamamasına ya da kurtarılamamasına yol açıyor. Hedefteki ürün yazılımı sürümünü bilen bir saldırgan ise aynı paketin içine sahte bir olay yerleştirip kendi baytlarını ürün yazılımının DXE aşamasında, ring 0 yetkisiyle çalıştırabiliyor. Bildiriye göre bu kod, işletim sisteminin herhangi bir güvenlik denetimi devreye girmeden ve Secure Boot ya da ölçümlü önyükleme işletim sisteminin herhangi bir bileşenini doğrulamadan önce çalışıyor.

SecurityWeek’e göre yalnızca ağ üzerinden önyükleme yapan makineler açıktan etkileniyor. Yine SecurityWeek’e göre açık, Ocak’ta yapılması planlanan duyurudan aylar önce, AMI’nin bir düzeltme yayımlamasıyla kamuya açık hâle geldi. CVE kaydındaki CISA değerlendirmesine göre 30 Ekim itibarıyla açığın saldırılarda kullanıldığı bilinmiyor.

Etkilenen sürümler ve düzeltme

• TianoCore’un bildirisine göre 14 Eylül 2026 tarihli EDK II ana dalı etkileniyor. CVE kaydında edk2-stable202608 ve önceki sürümler etkilenen sürümler olarak gösteriliyor.
• Düzeltme, EDK II’ye birleştirilen 13302 numaralı değişiklikle eklendi. Değişikliğe göre IPv4 ve IPv6 ICMP hata işleyicilerine sınır kontrolleri eklendi ve uzun mesajlar alan dolduğunda kesiliyor.
• Bildiride düzeltilmiş sürüm olarak henüz bir EDK II sürüm numarası gösterilmiyor.

Önerilen önlemler

SecurityWeek’e göre kurumların sunucuları için ürün yazılımı güncellemelerini kendi donanım üreticilerinden edinmesi gerekiyor.