I TianoCore EDK II (EFI Development Kit II), en öppen referensimplementation av UEFI som anvÀnds i de flesta servermoderkort, har en kritisk sÄrbarhet ÄtgÀrdats (CVE-2026-97631). SÄrbarheten finns i PXE-drivrutinen och kan utnyttjas genom att skicka sÀrskilt utformade ICMP-paket under nÀtverksstart i IPv4- eller IPv6-nÀtverk. Attacken krÀver ingen autentisering och gör det möjligt för en angripare att köra sin kod med UEFI-firmwareprivilegier innan kontrollen överlÀmnas till operativsystemet, vilket kan anvÀndas för att kringgÄ UEFI Secure Boot-verifieringsmekanismen och införa skadliga komponenter under startprocessen.
Problemet orsakas av en buffertöverflödesattack i ICMP-meddelandeshanteraren i UefiPxeBcDxe-drivrutinen, som anvĂ€nds för PXE-start och tar emot ICMP-paket under nĂ€tstart för att registrera nĂ€tverksfel. Ăverflödet uppstĂ„r pĂ„ grund av att mottagna felmeddelanden placeras i en fast buffer med en storlek pĂ„ 504 byte utan att kontrollera den faktiska storleken pĂ„ de mottagna data. Om mer Ă€n 504 byte skickas i ICMP-paketet skrivs det överflödiga slutet utanför bufferten och pĂ„verkar efterföljande strukturer.
Attacken kan genomföras frÄn det offentliga nÀtverket - det rÀcker att veta offerets IP-adress och kunna identifiera tidspunkten för PXE-start. Genom att veta vilken specifik firmware som anvÀnds pÄ servern offret kan angriparen förbereda en exploit med beaktande av placeringen av strukturer i minnet i den specifika firmware-versionen och utnyttja sÄrbarheten för att köra kod pÄ DXE-nivÄ (Driver Execution Environment), som körs i kernelzoon nivÄ 0.
EDK II-projektet öppnades 2004 av Intel och anvÀnds av alla stora firmware-tillverkare för serversystem, datacenter och molnleverantörer. Bland annat anvÀnds det i AMI-, Insyde- och Phoenix-firmwares. SÄrbarheten finns ocksÄ i firmware baserade pÄ Microsofts Mu-plattform, som Àr en fork av EDK II.
Problemet upptÀcktes av representanter frÄn Anthropic och Google och en offentlig avslöjande har planerats till januari 2027. Men informationen mÄste offentliggöras tidigare, eftersom en ingenjör frÄn AMI av misstag bröt embargoet och publicerade en offentlig pull-begÀran med en lösning som gjorde det möjligt att förstÄ sjÀlva sÄrbarheten.
KĂ€lla: opennet.ru
