I TianoCore EDK II (EFI Development Kit II), en åben referenceimplementering af UEFI, der anvendes på de fleste servermoderkort, er en kritisk sårbarhed (CVE-2026-97631) blevet udbedret. Sårbarheden findes i PXE-driveren og kan udnyttes ved at sende specifikt formaterede ICMP-pakker under netværksboot i IPv4- eller IPv6-netværk. Angrebet kræver ikke godkendelse og giver en angriber mulighed for at udføre sin kode med UEFI-firmwareprivilegier, før kontrollen overgår til operativsystemet, hvilket kan bruges til at omgå UEFI Secure Boot-validationsmekanismen og indsætte ondsindede komponenter under opstart.
Problemet skyldes en buffer-overløb i ICMP-beskedbehandleren i UefiPxeBcDxe-driveren, som bruges til PXE-opstart og modtager ICMP-pakker under netværksopstart for at registrere netværksfejl. Overløbet opstår, fordi de modtagne fejlbepkeder placeres i en fast buffer på 504 byte uden at kontrollere den faktiske størrelse af de modtagne data. Hvis der sendes mere end 504 byte i en ICMP-pakke, vil den ikke-placerbare del skrive uden for bufferen og overlappe følgende strukturer.
Angrebet kan udføres fra internettet — det er nok at kende offrets IP-adresse og kunne bestemme tidspunktet for PXE-opstart. Ved at vide, hvilken firmware der anvendes på serveren offret, kan angriberen forberede et exploit med henblik på placeringen af strukturerne i hukommelsen for den specifikke firmware-version og udnytte sårbarheden til at udføre kode på DXE (Driver Execution Environment) niveau, der kører i ring 0 beskyttelse.
EDK II-projektet blev åbnet i 2004 af Intel og anvendes af alle større firmwareproducenter til serversystemer, datacentre og cloud-udbydere. Blandt andet anvendes det i AMI-, Insyde- og Phoenix-firmwares. Sårbarhederne findes også i firmware baseret på Microsofts Mu-platform, som er en fork af EDK II.
Problemet blev identificeret af repræsentanter fra Anthropic og Google og var planlagt til en koordineret offentlig offentliggørelse i januar 2027. Men oplysningerne måtte offentliggøres tidligere, da en ingeniør fra AMI ved en fejltagelse brød embargoen og offentliggjorde en offentlig pull-anmodning med en løsning, som gjorde det muligt at forstå sårbarhedens essens.
Kilde: opennet.ru
