EDK II PXE sürücüsünde kritik açık, ağdan boot eden sunucularda Secure Boot öncesi kod çalıştırma riski
TianoCore'un EDK II firmware kodundaki PXE sürücüsünde CVSS 4.0 puanı 9.5 olan bir bellek taşması bulundu (CVE-2026-97631). Açık, PXE ile ağdan boot eden makinelerde Secure Boot devreye girmeden önce boot'un kilitlenmesine ya da kod çalıştırılmasına yol açabiliyor. Düzeltme upstream'de; asıl yük firmware üreticilerinin güncellemelerinde.
CVE-2026-97631
Pek çok sunucu ve PC firmware'inin temelini oluşturan açık kaynak UEFI kodu EDK II'de kritik bir açık var. TianoCore'un 22 Ekim'de yayımladığı CVE-2026-97631, NetworkPkg altındaki PXE Base Code sürücüsünü (UefiPxeBcDxe) etkiliyor ve CVSS 4.0 ile 9.5 puan aldı. Açık, IPv4 ve IPv6 üzerinden PXE boot sırasında gelen ICMP hata mesajlarının sabit boyutlu bir alana fazla büyük kopyalanmasından kaynaklanıyor.
Bildirime göre kimlik doğrulaması olmayan ve PXE boot eden istemciye unicast ICMP hata mesajı ulaştırabilen bir saldırgan, DXE aşamasında belleği bozabiliyor. Sonuç en hafif haliyle boot'un kilitlenmesi. Hedef firmware sürümünü bilen bir saldırgan içinse kod çalıştırma yolu da açılıyor. Kritik nokta zamanlama: tüm bunlar Secure Boot ve measured boot doğrulamasından önce oluyor. Bildirimde aktif istismar bilgisi yok, açık KEV kataloğunda değil. Açığı Anthropic'ten Alex Matrosov ve Google'dan Dan Holmes-Mitra bulup düzeltmeyi de önermiş.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| EDK II NetworkPkg (UefiPxeBcDxe) | 14 Eylül 2026 itibarıyla master | Bildirimde stable sürüm yok; düzeltme PR #13302 |
| EDK II tabanlı sunucu, PC ve sanallaştırma firmware'leri (OVMF dahil) | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
EDK II doğrudan kurulan bir ürün değil; Dell, HPE, Lenovo, Supermicro gibi donanım üreticileri ve AMI, Insyde, Phoenix gibi BIOS sağlayıcıları bu kodu kendi firmware'lerine alıyor. Bu yüzden düzeltilmiş sürüm bilgisi her üreticinin kendi güvenlik bildiriminde yer alacak. Kaynaklar arasında Intel referans kodunun etkilenip etkilenmediği konusunda farklı bilgiler var; kesin durum için donanım üreticinizin bildirimine bakın.
Beni etkiliyor mu?
Risk yalnızca PXE ile ağdan boot eden makinelerde doğuyor. Önce firmware sürümünüzü ve boot sırasını kontrol edin:
Get-CimInstance Win32_BIOS | Select-Object Manufacturer, SMBIOSBIOSVersion, ReleaseDate
cat /sys/class/dmi/id/bios_vendor /sys/class/dmi/id/bios_versionArdından firmware arayüzünde (BIOS/UEFI Setup › Boot › Boot Order) ya da sunucunun uzaktan yönetim kartında boot sırasına bakın; PXE veya IPv4/IPv6 ağ boot girdisi etkinse ve öndeyse makine etkilenme koşulunu taşıyor. KVM/QEMU sanal makinelerinde OVMF paketini kontrol edin:
rpm -q edk2-ovmf
dpkg -l ovmfNe yapılmalı?
- Donanım ve BIOS üreticinizin CVE-2026-97631 bildirimini takip edin; firmware güncellemesi yayımlandığında change management sürecinden geçirerek uygulayın.
- Linux dağıtımı kullanan sanallaştırma ortamlarında OVMF/edk2 paket güncellemelerini dağıtım bildirimleriyle izleyin.
- Workaround olarak: PXE boot'a ihtiyaç duymayan sunucularda firmware ayarlarından ağ boot'u kapatın ya da boot sırasında yerel diski öne alın.
- PXE kullanılan provisioning ağlarını ayrı VLAN'da tutun; bu ağa dışarıdan ICMP trafiği ulaşmasını firewall kurallarıyla sınırlayın.
- Beklenmedik boot hatası ya da PXE aşamasında kilitlenme görülen makineleri kayıt altına alın; firmware bütünlüğünü üreticinin doğrulama araçlarıyla kontrol edin.
