Kerentanan kritis (CVE-2026-97631) telah ditambal pada TianoCore EDK II (EFI Development Kit II), sebuah implementasi referensi UEFI sumber terbuka yang digunakan di sebagian besar motherboard server. Kerentanan ini terdapat pada driver PXE dan dapat dieksploitasi dengan mengirimkan paket ICMP yang dirancang khusus selama proses booting jaringan pada jaringan IPv4 atau IPv6. Serangan ini tidak memerlukan otentikasi dan memungkinkan penyerang untuk mengeksekusi kode dengan hak akses firmware UEFI sebelum kendali dialihkan ke sistem operasi. Hal ini dapat digunakan untuk melewati mekanisme boot terverifikasi UEFI Secure Boot dan menyisipkan komponen berbahaya selama proses booting.
Masalah ini disebabkan oleh buffer overflow pada penanganan pesan ICMP di driver UefiPxeBcDxe, yang digunakan untuk booting PXE dan menerima paket ICMP selama booting jaringan untuk mencatat kesalahan jaringan. Overflow terjadi karena pesan kesalahan yang diterima ditempatkan dalam buffer tetap berukuran 504 byte tanpa memeriksa ukuran sebenarnya dari data yang diterima. Jika lebih dari 504 byte dikirim dalam paket ICMP, overflow akan ditulis melampaui akhir buffer dan tumpang tindih dengan struktur berikutnya.
Serangan dapat dilakukan dari jaringan global – cukup mengetahui alamat IP korban dan mampu menentukan momen boot PXE. Mengetahui firmware yang tepat yang digunakan pada server Sebagai korban, penyerang dapat menyiapkan eksploitasi dengan mempertimbangkan penempatan struktur dalam memori dari versi firmware tertentu dan mengeksploitasi kerentanan untuk mengeksekusi kode pada level DXE (Driver Execution Environment), yang berjalan di lapisan perlindungan nol.
Proyek EDK II dibuka pada tahun 2004 oleh Intel dan digunakan oleh semua vendor firmware utama untuk sistem server, pusat data, dan penyedia cloud. Antara lain, EDK II digunakan dalam firmware AMI, Insyde, dan Phoenix. Kerentanan juga ada pada firmware yang berbasis pada platform Mu milik Microsoft, yang merupakan turunan dari EDK II.
Masalah ini ditemukan oleh perwakilan dari Anthropic dan Google dan dijadwalkan untuk pengungkapan publik terkoordinasi pada Januari 2027. Namun, informasi tersebut harus dirilis lebih awal karena seorang insinyur dari AMI secara tidak sengaja melanggar embargo dan menerbitkan permintaan perubahan (pull request) publik dengan perbaikan, yang mengungkapkan sifat kerentanan tersebut.
Sumber: opennet.ru
