UEFIファームウェアで重大な脆弱性が見つかる
多くのメーカーがUEFIファームウェアの開発基盤とするオープンソースソフトウェアTianoCore EDK IIで、重大な脆弱性が確認された。Ars Technicaが報じた。この問題には識別番号CVE-2026-97631が割り当てられ、深刻度は10点満点中9.5と評価されている。この脆弱性により、OSの起動前に悪意のあるコードを実行できる可能性がある。
原因は、ネットワークブート用コンポーネントPXE Base Codeにおけるバッファオーバーフローの不具合である。ネットワーク経由の起動時、このコンポーネントはICMPエラーメッセージを処理する。1件のメッセージにつき504バイトのメモリが確保されるが、受信データの長さは検証されない。メッセージが許容サイズを超えると、データの一部が隣接するメモリ領域に書き込まれる。
攻撃を成立させるには、攻撃者が、ネットワーク経由で起動中のデバイスに細工したネットワークメッセージを送信する必要がある。これによりクラッシュが起こる可能性があり、特定のファームウェアバージョンの特性を把握していれば、プロセッサの最高権限で任意のコードを実行できる。その場合、信頼されたブートの連鎖が損なわれ、TPMや暗号化されたディスクへアクセスされるおそれがある。再起動後に悪意のあるコードは残らないが、実行中に追加のペイロードがデバイスにインストールされる可能性がある。
実際にこの脆弱性を悪用するには、侵害されたアカウントなどを通じたローカルネットワークへのアクセス、または組織内部での何らかの足場が必要となる。CVE-2026-97631そのものは、ネットワークへの侵入を可能にするものではない。影響を受けるのはネットワークブートを使用するデバイスに限られ、主にPXEに対応したEDK IIベースのファームウェアが対象である。内蔵ストレージから起動するシステムは影響を受けない。
EDK IIのコードはAMI、Insyde、Phoenixなどのファームウェアベンダーが利用しており、脆弱なコードはMicrosoftが改良したセキュリティ重視の派生版Project Muにも含まれている。相当数のシステムが危険にさらされている。この脆弱性は、AnthropicのAlex MatrosovとGoogleのDan Holmes-Mitraが発見し、2027年1月まで詳細を公表しないことで合意していた。しかし9月にAMIが問題の説明と対処法を含むコード更新を公開し、その後TianoCoreプロジェクトも情報を公表した。
修正を含むコードが公開されているため、攻撃者がそれを解析し、脆弱性を悪用する方法を見つける危険がある。数百万台規模のシステムが対象となるため、ファームウェアの開発と更新の配布には多くの時間を要する見通しだ。Intelは、セキュリティ更新を提供している同社の商用製品に脆弱なモデルは確認されていないと述べた。問題のコンポーネントは同社のリファレンスコードには含まれていないが、マザーボードやコンピューターのメーカーが採用している可能性がある。Armは、この問題は自社製品には関係しないと強調した。ネットワークブートを利用する組織には、ファームウェアベンダーに自社の機器が影響を受けるかどうか、修正がいつ提供されるかを確認し、可能であればネットワークブートを一時的に無効にすることが推奨されている。