UEFI再次出现安全漏洞 可利用PXE远程下载恶意固件从而植入后门程序
内容提要
研究人员发现五家提供商的UEFI固件存在九个漏洞，可被黑客利用。漏洞主要影响企业和数据中心，出现在基于IPv6的PXE启动中。禁用PXE和IPv6可防范漏洞。UEFI固件提供商正在制作新版本固件分发给客户。微软建议禁用不使用的协议或配置TLS加密协议。
延伸解读
攻击门槛低，但主要威胁企业环境
PixieFail 漏洞利用不需要物理接触设备，攻击者只要能访问终端和启动服务器所在的网络，并捕获数据包进行注入即可。低权限用户也能发起攻击，但前提是目标环境启用了基于 IPv6 的 PXE 启动。家庭用户通常不使用 PXE，因此实际风险较低；企业和数据中心因批量部署需求更可能暴露在风险中。
UEFI 后门难以清除，持久化风险高
攻击者通过 PXE 下载恶意固件映像并植入 UEFI 后，恶意代码可在操作系统启动前运行。常规安全软件可能无法检测 UEFI 感染，即使检测到也难以清除。这意味着一旦中招，重装系统未必能解决问题，可能需要刷新或更换固件，恢复成本较高。
缓解措施明确，但需权衡业务需求
最简单的防范方法是禁用 PXE 和 IPv6。家庭用户可直接禁用；企业若必须使用 PXE，应评估是否依赖 IPv6，改用 IPv4 可避开该漏洞。微软还建议禁用不使用的协议，并在使用 PXE 时配置 TLS 加密，以阻止中间人劫持。这些措施需结合企业实际部署来取舍。
厂商修复进行中，微软回应存分歧
受影响固件提供商包括 Arm Ltd.、Insyde、AMI、Phoenix Technologies 和 Microsoft。AMI 已确认 Optio V 系列受影响并分发新固件，其他厂商仍在更新中。微软表示正在采取行动但未透露细节，且其称攻击者需在内网建立恶意服务器，研究人员对此予以否认。读者应关注各厂商固件更新进展。
Q&A
PixieFail漏洞是什么？影响哪些设备？
PixieFail是研究人员在五家提供商的UEFI固件中发现的九个漏洞的统称。这些漏洞主要影响企业和数据中心的设备，尤其是使用基于IPv6的PXE启动的环境。
攻击者如何利用PXE漏洞植入后门？
攻击者需能访问终端设备和启动服务器所在的网络，通过捕获数据包，在终端设备启动时向客户端发送恶意数据包，触发漏洞，从而下载恶意固件映像而非管理员配置的固件映像，进而植入UEFI实现持久化。
如何防范PixieFail漏洞？
简单方法是禁用PXE启动和IPv6，家庭用户可直接禁用。企业若使用IPv4连接则不受影响。微软建议禁用不使用的协议，若使用PXE应配置TLS加密协议以防止中间人劫持。
哪些厂商的UEFI固件受到PixieFail漏洞影响？
受影响的固件提供商包括Arm Ltd.、Insyde、AMI、Phoenix Technologies和Microsoft。AMI已确认Optio V系列固件受影响并发布新版本，其他厂商正在更新固件。
为什么UEFI后门难以检测和清除？
因为UEFI是底层技术，恶意软件植入后可在操作系统启动前运行，常规安全软件可能无法检测到UEFI被感染，或者即使检测到也无法清除。
微软对PixieFail漏洞的回应是什么？
微软表示正在采取适当行动，但未透露具体内容。微软错误地声称攻击者需在企业内网建立恶意服务器，研究人员指出并不需要。微软建议禁用不使用的协议，使用PXE时配置TLS加密。
