潜伏16年的UEFI漏洞评分9.5，补丁还没进稳定版

一个存在了16年的UEFI漏洞，CVSS评分9.5，修复代码已经合并进源码，但没有任何一个稳定版包含它。TianoCore在10月22日发布公告，编号CVE-2026-97631，公告里补丁版本一栏至今写着“当前未修补”。

漏洞藏在EDK II的网络启动代码里。EDK II是多数硬件厂商构建UEFI固件的开源基础代码，机器开机时最先运行的就是UEFI固件，早于操作系统。问题出在PXE网络启动流程：机器不从本地磁盘、而是从网络加载启动镜像时，PXE驱动会监听ICMP错误消息和网络设备回传的状态消息，并把每条消息复制进一块固定的504字节内存区域。

这段复制逻辑在IPv4和IPv6两个版本里的长度检查都写错了。超过504字节的消息会溢出这块区域，用攻击者选定的数据覆盖相邻内存。触发条件只有一个：在网络启动进行中，向机器地址发送一条精心构造的错误消息。不需要密码，也不需要事先拿到机器访问权限。

最简单的后果是崩溃——启动卡死，机器起不来。要让代码真正跑起来则难得多，也更不可靠。公告的说法是，掌握确切固件构建版本信息的攻击者可以植入一个“伪造事件”，让固件执行攻击者的代码，因此利用程序必须针对特定构建版本定制。代码一旦运行，就处在固件环境内，此时Secure Boot和其他启动期校验还没有验证过任何东西——这个时间点正是漏洞严重性的来源。这样植入的代码只运行一次，重启后不会自行存活，但这一次运行足够装上下次开机就会启动的其他代码。

影响范围有多大

缺陷存在于EDK II直至edk2-stable202608的所有版本中，这是8月21日发布的最新稳定版。EDK II是几乎所有UEFI固件厂商的参考代码，包括独立BIOS厂商AMI、Insyde、Phoenix，以及微软加固过的分支Project Mu。有记录显示，这段有问题的复制循环自2010年11月的一次提交起就留在代码里。

PXE网络启动在EDK II标准构建中默认开启。只从本地磁盘启动的家庭和办公用户不受影响，受波及的是让机器通过网络启动的组织，主要是服务器和数据中心设备。具体有多少在售产品带着这段脆弱代码，目前不清楚。

• 英特尔对Ars Technica表示，其“当前处于安全支持期内的商业产品”没有已知受影响的情况，并称其参考代码“不包含受影响的EDK2功能”，但OEM板卡厂商或系统厂商可能自行加入。
• Arm表示该漏洞“不直接适用于Arm的产品组合”。
• Red Hat将红帽企业Linux 8、9、10中的edk2包列为受影响且尚未修复，SUSE和Debian对各自对应包的标注相同。
• AMD、Phoenix Technologies、AMI、微软和亚马逊在发稿前未回应提问，TianoCore同样未回应，这些厂商产品的状态仍不明确。

补丁在源码里，不在你手里

修复已合并进EDK II源码，重写了出错的复制逻辑，超长消息在504字节处被截断而不再溢出，10月15日进入主开发分支。但没有任何稳定版包含它：10月28日核对项目发布标签，最新的edk2-stable202608早于这次修复。微软的Project Mu已将修复拉入发布分支，并于10月26日切出带标签的构建。

即便修复已在源码中公开，服务器运维人员也要等固件厂商发布基于它构建的BIOS或UEFI更新才有东西可装。固件安全公司Eclypsium首席研究员Jesse Michael对Ars Technica表示，这一步至少足够直接：与BootHole、BlackLotus这类Secure Boot绕过不同，这个漏洞“可以用基础的代码修复解决”，不需要吊销证书或密钥。

在更新到来之前，公告没有列出任何缓解措施。由于漏洞只能通过网络启动触达，不需要PXE的运维方可以关掉它来降低暴露面。Ars还建议留意启动期的网络流量和日志，寻找尝试利用的迹象。

提前曝光的披露

漏洞由Anthropic的Alex Matrosov和Google的Dan Holmes-Mitra发现，公告予以致谢。原定的协同披露时间是2027年1月。这个计划在9月28日被打乱：一份由AMI工程师签字的EDK II拉取请求公开以CVE编号描述了该漏洞，并附上了修复。发现者看到帖子后，TianoCore在10月22日发布公告，比原计划提前数周。补丁公开意味着有能力的攻击者可以研究它，弄清触发方式并构建可用的利用程序。

目前没有迹象显示该漏洞已被用于攻击。截至10月27日更新，它不在CISA的已知被利用漏洞目录中，也没有研究人员报告见过它被利用。它本身也不是进入网络的入口。现实中的攻击者是内部人员，或者已经在本地网络取得低权限立足点、想继续深入的人。

Metasploit创建者、安全公司Dragos首席研究官HD Moore对Ars Technica说：“一个意图攻陷附近终端或服务器的攻击者，可以利用这个漏洞在启动流程仍能访问TPM等敏感组件的节点劫持程序流。”他补充说：“在攻击者拥有短期网络访问权限的情况下，这可以用来破解磁盘加密，在设备被盗场景中甚至更容易。”

这不是EDK II网络启动代码第一次出严重问题。2024年1月，研究人员披露了PixieFail——同一部分代码中的九个漏洞，同样可在PXE启动期间触达。PixieFail之后启动的模糊测试项目，没能发现这一个。