主要マザーボードのUEFI脆弱性により、早期ブート攻撃が可能に

複数の大手ベンダーのマザーボードが、脅威アクターによる早期ブート攻撃を可能にする脆弱性の影響を受けています。

カーネギーメロン大学のCERT/CCが水曜日に公開した勧告によると、攻撃者はこの脆弱性を悪用してメモリ上のデータにアクセスしたり、システムの初期状態に影響を与えたりできる可能性があります。

このセキュリティホールにより、攻撃者は機密データを取得し、プレブート段階でのコード注入を行える可能性があります。 

この問題はブートプロセスの完全性を損ない、OSの防御機構が読み込まれる前に攻撃を実行できるため重大に聞こえるかもしれませんが、悪用には標的デバイスへの物理的アクセスが必要です。

具体的には、ローカルの攻撃者が、脆弱なマザーボードを搭載したコンピューターに悪意のあるPCI Express（PCIe）デバイスを接続できる必要があります。

[ 読む: IntelおよびAMDのプロセッサがPCIe脆弱性の影響を受ける ]

ASRock、Asus、Gigabyte、およびMSIは、自社の一部マザーボードが影響を受けることを確認しています。各ベンダーは、脆弱性とファームウェアパッチの提供状況について顧客に知らせるため、それぞれ独自の勧告を公開しました。

CERT/CCの勧告によると、AMD、AMI、Insyde、Intel、Phoenix Technologies、Supermicroの製品は影響を受けません。現在、十数社のベンダーが「不明」のステータスとなっています。 

技術的詳細

この脆弱性は保護メカニズムの不具合として説明されており、UEFI実装と、周辺機器からの悪意あるメモリアクセスを防ぐよう設計された入出力メモリ管理ユニット（IOMMU）に関連しています。

問題は、ブートプロセス中にファームウェアがダイレクトメモリアクセス（DMA）保護が有効であると示す一方で、実際にはIOMMUが適切に構成・有効化されるのは、制御がOSに引き渡される直前である点です。

これにより、標的システムに物理的にアクセスできる攻撃者は、悪意のあるPCIeデバイスを用いてDMA攻撃を実行できます。

CERT/CCは勧告の中で次のように説明しています: 

「物理的アクセスを完全に管理できない、または管理に依存できない環境では、迅速なパッチ適用とハードウェアセキュリティのベストプラクティスの遵守が特に重要です。IOMMUは仮想化およびクラウド環境における分離と信頼委任の基盤的役割も担っているため、この欠陥は、データセンターで通常使用されないシステムであっても、正しいファームウェア構成を確保する重要性を浮き彫りにしています。」

この脆弱性には、CVE-2025-11901、CVE-2025‑14302、CVE-2025-14303、CVE-2025-14304のCVE識別子が割り当てられています。

この問題は、Riot Gamesの研究者によって責任ある開示が行われました。