En TianoCore EDK II (Kit de Desarrollo EFI II), una implementación de referencia de código abierto de UEFI utilizada en la mayoría de las placas base para servidores, se ha solucionado una vulnerabilidad crítica (CVE-2026-97631). La vulnerabilidad está presente en el controlador PXE y puede ser explotada enviando paquetes ICMP especialmente formateados durante el arranque en redes IPv4 o IPv6. El ataque no requiere autenticación y permite al atacante ejecutar su código con privilegios del firmware UEFI en la etapa previa a la transferencia de control al sistema operativo, lo que puede ser utilizado para eludir el mecanismo de verificación de arranque UEFI Secure Boot e insertar componentes maliciosos en la etapa de arranque.
El problema se debe a un desbordamiento de búfer en el controlador de mensajes ICMP en el controlador UefiPxeBcDxe, que se utiliza para el arranque PXE y acepta paquetes ICMP durante el arranque a través de la red para registrar errores de red. El desbordamiento ocurre debido a la colocación de los mensajes de error recibidos en un búfer fijo de 504 bytes, sin verificar el tamaño real de los datos recibidos. Si se envían más de 504 bytes en el paquete ICMP, la porción que no cabe se escribe fuera del búfer y se superpone a las estructuras que siguen.
El ataque puede llevarse a cabo desde la red global; solo es necesario conocer la dirección IP de la víctima y poder determinar el momento del arranque PXE. Conociendo qué firmware se utiliza en servidor la víctima, el atacante puede preparar un exploit teniendo en cuenta la ubicación de las estructuras en la memoria de la compilación específica del firmware y explotar la vulnerabilidad para ejecutar código a nivel DXE (Entorno de Ejecución de Controladores), que se ejecuta en el anillo de protección cero.
El proyecto EDK II fue iniciado en 2004 por Intel y es utilizado por todos los principales fabricantes de firmware para sistemas de servidores, centros de datos y proveedores de nube. Entre otros, se usa en los firmwares de AMI, Insyde y Phoenix. La vulnerabilidad también está presente en los firmwares basados en la plataforma Mu de Microsoft, que es un fork de EDK II.
La problemática fue identificada por representantes de las empresas Anthropic y Google, y se programó para una divulgación pública coordinada en enero de 2027. Sin embargo, la información tuvo que hacerse pública antes, ya que un ingeniero de la empresa AMI accidentalmente rompió el embargo y publicó un pull request público con una corrección, a partir del cual se podía entender la naturaleza de la vulnerabilidad.
Fuente: opennet.ru
