Vulnerabilidade remota em firmware UEFI de servidores, explorada através do envio de pacotes ICMP

No TianoCore EDK II (EFI Development Kit II), uma implementação de referência aberta do UEFI usada na maioria das placas-mãe de servidores, foi corrigida uma vulnerabilidade crítica (CVE-2026-97631). A vulnerabilidade está presente no driver PXE e pode ser explorada através do envio de pacotes ICMP especialmente formatados durante o boot em redes IPv4 ou IPv6. O ataque não requer autenticação e permite que um invasor execute seu código com privilégios da firmware UEFI antes da transferência de controle para o sistema operacional, o que pode ser usado para contornar o mecanismo de inicialização verificada UEFI Secure Boot e inserir componentes maliciosos durante a inicialização.

O problema é causado por um estouro de buffer no manipulador de mensagens ICMP no driver UefiPxeBcDxe, que é usado para boot PXE e aceita pacotes ICMP durante a inicialização pela rede para registrar erros de rede. O estouro ocorre porque as mensagens de erro recebidas são colocadas em um buffer fixo de 504 bytes sem verificar o tamanho real dos dados recebidos. Se mais de 504 bytes forem enviados em um pacote ICMP, o excesso será gravado fora do buffer e se sobreporá às estruturas subsequentes.

Um ataque pode ser realizado a partir da rede global — basta conhecer o endereço IP da vítima e conseguir determinar o momento da inicialização PXE. Conhecendo qual firmware está sendo usado na servidor vítima, o invasor pode preparar um exploit considerando a disposição das estruturas na memória de uma versão específica do firmware e explorar a vulnerabilidade para executar código em nível DXE (Driver Execution Environment), que é executado no anel de proteção zero.

O projeto EDK II foi iniciado em 2004 pela Intel e é utilizado por todos os grandes fabricantes de firmware para sistemas de servidores, data centers e provedores de nuvem. Entre outras coisas, é utilizado em firmware AMI, Insyde e Phoenix. A vulnerabilidade também está presente em firmwares baseados na plataforma Mu da Microsoft, que é um fork do EDK II.

O problema foi identificado por representantes das empresas Anthropic e Google, e estava planejado para uma divulgação pública coordenada em janeiro de 2027. No entanto, a informação precisou ser tornada pública antes, pois um engenheiro da AMI acidentalmente quebrou o embargo e publicou um pull request público com a correção, a partir do qual era possível entender a natureza da vulnerabilidade.

Fonte: opennet.ru