Một lỗ hổng bảo mật nghiêm trọng (CVE-2026-97631) đã được vá trong TianoCore EDK II (EFI Development Kit II), một bộ công cụ tham chiếu UEFI mã nguồn mở được sử dụng trong hầu hết các bo mạch chủ máy chủ. Lỗ hổng này tồn tại trong trình điều khiển PXE và có thể bị khai thác bằng cách gửi các gói ICMP được tạo đặc biệt trong quá trình khởi động mạng trên mạng IPv4 hoặc IPv6. Cuộc tấn công không yêu cầu xác thực và cho phép kẻ tấn công thực thi mã với đặc quyền phần mềm UEFI trước khi quyền điều khiển được chuyển giao cho hệ điều hành. Điều này có thể được sử dụng để vượt qua cơ chế khởi động được xác minh UEFI Secure Boot và chèn các thành phần độc hại trong quá trình khởi động.
Sự cố này do lỗi tràn bộ đệm trong trình xử lý thông báo ICMP của trình điều khiển UefiPxeBcDxe, được sử dụng để khởi động PXE và nhận các gói ICMP trong quá trình khởi động mạng để ghi nhật ký lỗi mạng. Lỗi tràn xảy ra vì các thông báo lỗi nhận được được đặt trong bộ đệm cố định 504 byte mà không kiểm tra kích thước thực tế của dữ liệu nhận được. Nếu nhiều hơn 504 byte được gửi trong một gói ICMP, phần dữ liệu tràn sẽ được ghi vượt quá giới hạn của bộ đệm và chồng lấp với các cấu trúc tiếp theo.
Cuộc tấn công có thể được thực hiện từ mạng toàn cầu – chỉ cần biết địa chỉ IP của nạn nhân và xác định được thời điểm khởi động PXE. Việc biết chính xác firmware được sử dụng trên máy tính cũng rất quan trọng. người phục vụ Đối với nạn nhân, kẻ tấn công có thể chuẩn bị một mã khai thác dựa trên vị trí của các cấu trúc trong bộ nhớ của một phiên bản firmware cụ thể và khai thác lỗ hổng để thực thi mã ở cấp độ DXE (Môi trường thực thi trình điều khiển), chạy trong vòng bảo vệ thứ không.
Dự án EDK II được Intel khởi xướng vào năm 2004 và được tất cả các nhà cung cấp phần mềm nhúng lớn sử dụng cho hệ thống máy chủ, trung tâm dữ liệu và nhà cung cấp dịch vụ đám mây. Trong số những ứng dụng khác, nó được sử dụng trong phần mềm nhúng AMI, Insyde và Phoenix. Các lỗ hổng cũng tồn tại trong phần mềm nhúng dựa trên nền tảng Mu của Microsoft, một nhánh phát triển từ EDK II.
Vấn đề này được phát hiện bởi các đại diện từ Anthropic và Google và dự kiến sẽ được công bố rộng rãi vào tháng 1 năm 2027. Tuy nhiên, thông tin đã phải được công bố sớm hơn vì một kỹ sư của AMI đã vô tình vi phạm lệnh cấm và công bố một yêu cầu kéo (pull request) công khai với bản vá lỗi, làm lộ ra bản chất của lỗ hổng.
Nguồn: opennet.ru
