Vulnérabilité distante dans les firmwares UEFI des serveurs, exploitée par l'envoi de paquets ICMP

Dans TianoCore EDK II (Kit de Développement EFI II), une mise en œuvre de référence open source de l'UEFI utilisée dans la plupart des cartes mères de serveurs, une vulnérabilité critique (CVE-2026-97631) a été corrigée. La vulnérabilité est présente dans le pilote PXE et peut être exploitée par l'envoi de paquets ICMP spécialement conçus lors du démarrage réseau dans des réseaux IPv4 ou IPv6. L'attaque ne nécessite pas d'authentification et permet à un attaquant d'exécuter son code avec des privilèges de micrologiciel UEFI à un stade antérieur à celui où le contrôle est transféré au système d'exploitation, ce qui peut être utilisé pour contourner le mécanisme de démarrage sécurisé UEFI Secure Boot et substituer des composants malveillants au stade de démarrage.

Le problème est causé par un débordement de tampon dans le gestionnaire de messages ICMP du pilote UefiPxeBcDxe, qui est utilisé pour le démarrage PXE et reçoit des paquets ICMP pendant le démarrage réseau pour enregistrer les erreurs réseau. Le débordement se produit en plaçant les messages d'erreur reçus dans un tampon fixe de 504 octets, sans vérifier la taille réelle des données reçues. En cas d'envoi de plus de 504 octets dans le paquet ICMP, la queue qui ne rentre pas dans le tampon est écrite au-delà de celui-ci et chevauche les structures suivantes.

L'attaque peut être effectuée à partir de l'Internet — il suffit de connaître l'adresse IP de la victime et de pouvoir déterminer le moment du démarrage PXE. En connaissant le micrologiciel utilisé sur le serveur la victime, l'attaquant peut préparer un exploit en tenant compte de l'emplacement des structures en mémoire d'une version spécifique du micrologiciel et exploiter la vulnérabilité pour exécuter du code au niveau DXE (Environnement d'Exécution des Pilotes), s'exécutant en mode de protection zéro.

Le projet EDK II a été lancé en 2004 par Intel et est utilisé par tous les grands fabricants de micrologiciels pour les systèmes serveur, les centres de données et les fournisseurs de cloud. Entre autres, il est utilisé dans les micrologiciels AMI, Insyde et Phoenix. La vulnérabilité est également présente dans les micrologiciels basés sur la plateforme Mu de Microsoft, qui est un fork d'EDK II.

Le problème a été identifié par des représentants des entreprises Anthropic et Google, et sa divulgation publique coordonnée était prévue pour janvier 2027. Cependant, l'information a dû être publiée plus tôt, car un ingénieur de l'entreprise AMI a accidentellement violé l'embargo et a publié une demande de tirage publique avec une correction, sur laquelle il était possible de comprendre la nature de la vulnérabilité.

Source : opennet.ru