Ve TianoCore EDK II (EFI Development Kit II), otevřené reference implementace UEFI používané na většině serverových základních desek, byla odstraněna kritická zranitelnost (CVE-2026-97631). Zranitelnost se vyskytuje v PXE ovladači a může být zneužita zasláním speciálně vytvořených ICMP paketů během síťového spuštění v IPv4 nebo IPv6 sítích. Útok nevyžaduje autentizaci a umožňuje útočníkovi spustit svůj kód s oprávněními UEFI firmwaru ještě před předáním kontroly operačnímu systému, což může být využito k obcházení mechanismu ověřeného spuštění UEFI Secure Boot a vložení škodlivých komponentů během zavádění.
Problém je způsoben přetečením zásobníku v zpracovávání ICMP zpráv v ovladači UefiPxeBcDxe, který se používá pro PXE spuštění a přijímá ICMP pakety během síťového spuštění k zaznamenání síťových chyb. Přetečení nastává díky umístění přijatých chybových zpráv do pevného zásobníku o velikosti 504 bajtů bez kontroly skutečné velikosti přijatých dat. Při odeslání více než 504 bajtů v ICMP paketu se nadbytečná část zapíše těsně za hranice zásobníku a překrývá následující struktury.
Útok může být proveden z veřejné sítě – stačí znát IP adresu oběti a umět určit okamžik PXE spuštění. Když útočník ví, jaká přesně firmware je používána na serveru oběti, může útočník připravit exploit s ohledem na umístění struktur v paměti konkrétní verze firmwaru a zneužít zranitelnost k provádění kódu na úrovni DXE (Driver Execution Environment), který běží v nulovém ochranném kruhu.
Projekt EDK II byl spuštěn v roce 2004 firmou Intel a používají ho všichni významní výrobci firmwaru pro serverové systémy, datacentra a cloudové poskytovatele. Kromě jiného se používá v firmwarech AMI, Insyde a Phoenix. Zranitelnosti se také vyskytují ve firmwarech postavených na platformě Mu od společnosti Microsoft, což je fork EDK II.
Problém byl identifikován zástupci společností Anthropic a Google a bylo naplánováno jeho koordinované veřejné zveřejnění na leden 2027. Ale informace musela být zveřejněna dříve, protože inženýr z firmy AMI náhodně porušil embargo a publikoval veřejný pull-request s opravou, na jejímž základě bylo možné pochopit podstatu zranitelnosti.
Zdroj: opennet.ru
