Luka CVE-2026–97631 w UEFI zagraża serwerom uruchamianym z sieci

Błąd ma ocenę 9,5 na 10. Dotyczy parsera ICMP w stosie sieciowym EDK2 i pozwala uruchomić złośliwy kod jeszcze przed startem systemu operacyjnego. Taki atak wyprzedza Secure Boot i elementy łańcucha zaufania powiązane z TPM. Sam ładunek nie jest trwały, ale może otworzyć drogę kolejnym komponentom.

Problem wynika z 16-letniego przepełnienia bufora w sterowniku PXE-Base Code, oznaczonym jako NetworkPkg/UefiPxeBcDxe. Podczas rozruchu z sieci moduł odbiera komunikaty błędów ICMP i kopiuje je do pola o stałej długości 504 bajtów. Zbyt długi pakiet może nadpisać sąsiednie dane w pamięci, zarówno dla IPv4, jak i IPv6.

Lukę wykryli Alex Matrosov z Anthropic i Dan Holmes z Google. Ujawnienie planowano dopiero na styczeń, ale w zeszłym miesiącu AMI opublikowało zgłoszenie zmian z opisem podatności i poprawką. Następnie TianoCore wydał publiczny komunikat. Dostępny kod naprawczy ułatwi teraz analizę błędu i budowę exploitów.

Atak nie daje wejścia do sieci od zera. Napastnik musi mieć kontrolę nad lokalną siecią albo niski poziom dostępu i trafić w moment rozruchu PXE. Możliwe jest zawieszenie startu urządzenia, a przy dopasowaniu exploita do konkretnego modelu także wykonanie kodu z najwyższymi uprawnieniami procesora, czyli na poziomie ring 0.

Luka nie dotyczy użytkowników domowych ani małych biur, jeśli urządzenia startują wyłącznie z dysku. Ryzyko dotyczy organizacji bootujących z lokalnej sieci lub zasobów podłączonych do internetu. EDK2 szeroko wykorzystują dostawcy UEFI, m.in. AMI, Insyde i Phoenix, a podatny komponent miał też Project Mu od Microsoftu.

Intel podał, że nie zna objętych wsparciem produktów z tym problemem, ale zastrzegł rolę producentów płyt i systemów. Arm uznał, że CVE-2026–97631 nie odnosi się bezpośrednio do jego portfolio.