În TianoCore EDK II (EFI Development Kit II), o implementare de referință open-source a UEFI folosită în majoritatea plăcilor de bază pentru servere, a fost remediată o vulnerabilitate critică (CVE-2026-97631). Vulnerabilitatea se află în driver-ul PXE și poate fi exploatată prin trimiterea de pachete ICMP special configurate în timpul boot-ului de rețea în rețele IPv4 sau IPv6. Atacul nu necesită autentificare și permite atacatorului să execute cod cu privilegii UEFI firmware înainte de a preda controlul sistemului de operare, ceea ce poate fi folosit pentru a ocoli mecanismul de verificare a boot-ului UEFI Secure Boot și a introduce componente malițioase în etapa de boot.
Problema este cauzată de o depășire a buffer-ului în handler-ul de mesaje ICMP din driver-ul UefiPxeBcDxe, care este utilizat pentru boot-ul PXE și acceptă pachete ICMP în timpul boot-ului de rețea pentru a înregistra erorile de rețea. Depășirea apare din cauza plasării mesajelor de eroare primite într-un buffer fix de 504 octeți, fără a verifica dimensiunea reală a datelor primite. În cazul în care se trimit mai mult de 504 octeți într-un pachet ICMP, capătul care nu încap în buffer este scris dincolo de acest buffer, afectând structurile care urmează.
Atacul poate fi realizat din rețeaua globală — este suficient să cunoști adresa IP a victimei și să poți determina momentul boot-ului PXE. Cunoașterea firmware-ului utilizat de server victimă permite atacatorului să pregătească un exploit având în vedere plasarea structurilor în memoria unei anumite versiuni a firmware-ului și să exploateze vulnerabilitatea pentru a executa cod la nivelul DXE (Driver Execution Environment), care se desfășoară în inelul 0 de protecție.
Proiectul EDK II a fost deschis în 2004 de către Intel și este folosit de toți marii producători de firmware pentru sisteme de servere, centre de date și furnizori de cloud. Printre altele, este utilizat în firmware-urile AMI, Insyde și Phoenix. Vulnerabilitățile se regăsesc și în firmware-urile bazate pe platforma Mu de la Microsoft, care este un fork al EDK II.
Problema a fost identificată de către reprezentanții companiilor Anthropic și Google și a fost planificată pentru o dezvăluire publică coordonată în ianuarie 2027. Însă informațiile au fost publicate mai devreme, deoarece un inginer de la AMI a încălcat accidental embargoul și a publicat un pull request public cu o corectare, pe baza căruia se putea înțelege esența vulnerabilității.
Sursa: opennet.ro
