كشفت تقارير أمنية حديثة عن ثغرة خطيرة في بعض نماذج اللوحات الأم من شركات كبرى مثل ASRock وASUS وGIGABYTE وMSI، تجعلها عرضة لهجمات الوصول المباشر إلى الذاكرة (DMA) في مرحلة الإقلاع المبكر. هذه الثغرة ترتبط بآلية UEFI التي تشكل الأساس الأمني لعملية الإقلاع، وبوحدة إدارة الذاكرة المدخلة والمخرجة (IOMMU) التي يفترض أن تمنع الأجهزة الطرفية من الوصول غير المصرح به إلى ذاكرة النظام. غير أن الخلل المكتشف يؤدي إلى تعطيل دور الـ IOMMU في لحظة حساسة قبل تحميل نظام التشغيل، مما يفتح الباب أمام أجهزة خبيثة قادرة على التلاعب بالذاكرة أو قراءة بيانات حساسة.
تفاصيل الثغرة ومكتشفيها
الثغرة تم اكتشافها من قبل الباحثين الأمنيين نيك بيترسون ومحمد الشريف من شركة Riot Games، حيث لاحظا وجود فجوة بين حالة الحماية المعلنة في الـ UEFI وبين التفعيل الفعلي لوحدة IOMMU. هذا الخلل يسمح لجهاز طرفي مزود بقدرة DMA عبر منفذ PCIe، في حال حصوله على وصول مادي، بقراءة أو تعديل محتوى الذاكرة قبل أن يبدأ نظام التشغيل بفرض آلياته الأمنية. المركز التنسيقي للأمن السيبراني CERT/CC أكد أن هذه الثغرة قد تمكن المهاجمين من حقن تعليمات برمجية خبيثة في مرحلة ما قبل الإقلاع، وهو ما يهدد سلامة النظام من جذوره.
اللوحات المتأثرة وأرقام الثغرات
تم تسجيل عدة ثغرات تحت معرفات CVE بدرجة خطورة وصلت إلى 7.0 وفق مقياس CVSS، وتشمل:
- CVE-2025-14304: يؤثر على لوحات ASRock بمختلف إصداراتها من شرائح Intel 500 حتى 800.
- CVE-2025-11901: يستهدف لوحات ASUS المزودة بشرائح Intel من Z490 حتى W790.
- CVE-2025-14302: يطال لوحات GIGABYTE بشرائح Intel وAMD، بما في ذلك سلسلة TRX50 التي سيصدر لها إصلاح في الربع الأول من 2026.
- CVE-2025-14303: يخص لوحات MSI المزودة بشرائح Intel من الجيلين 600 و700.
أهمية التحديثات الأمنية
الشركات المصنعة بدأت بالفعل في إصدار تحديثات للبرمجيات الثابتة (Firmware) لمعالجة الخلل وضمان تفعيل وحدة IOMMU بشكل صحيح منذ لحظة الإقلاع. الخبراء يحذرون من أن التأخر في تثبيت هذه التحديثات قد يترك الأنظمة عرضة لهجمات خطيرة، خصوصاً في البيئات التي يصعب فيها التحكم الكامل بالوصول المادي إلى الأجهزة. كما أن دور الـ IOMMU يتجاوز حماية الأجهزة الفردية، إذ يمثل أساساً في عزل الموارد وتوزيع الثقة في بيئات الحوسبة السحابية والافتراضية، ما يجعل هذه الثغرة ذات تأثير واسع على البنية التحتية الرقمية.
