CVE-2025-2486CVE-2025-2486是Ubuntu edk2 UEFI固件包中的一个高危安全漏洞，CVSS评分8.8。该漏洞源于UEFI Shell在启用Secure Boot的环境中意外可被访问，攻击者可能利用此漏洞绕过Secure Boot安全约束。edk2是UEFI固件的开源实现，被广泛应用于Ubuntu系统的UEFI启动环境中。该漏洞是CVE-2023-48733不完整修复的额外修复，表明原始修复方案未能彻底解决UEFI Shell访问控制问题。攻击者需要本地访问权限，但无需用户交互即可利用此漏洞，成功利用可导致机密性、完整性和可用性的高影响。Ubuntu已发布版本2024.05-2ubuntu0.3和2024.02-2ubuntu0.3来修复此问题，修复方式为完全禁用UEFI Shell。
UEFI Shell是一个命令行界面，允许用户在UEFI固件环境中执行各种系统命令和工具。在Secure Boot模式下，系统应仅允许加载和执行经过签名验证的引导加载程序和内核，以防止恶意软件在启动早期阶段执行。然而，Ubuntu edk2固件包在特定版本中意外保留了UEFI Shell的访问能力，使得攻击者可以在Secure Boot环境下启动Shell环境。部分早期版本尝试在Shell内部实现基于secure-boot的访问控制决策，但这种在Shell自身内部实现的检查被认为不足以可靠地强制执行Secure Boot限制，因为Shell环境的复杂性可能存在绕过路径。攻击者通过本地访问系统后，可尝试在启动过程中触发UEFI Shell访问，进而可能加载未签名的可执行文件、修改启动配置或执行其他未授权操作，完全绕过Secure Boot提供的安全保护。