Kritiek lek in UEFI-serverfirmware maakt codeuitvoering mogelijk bij netwerkboot

In dit artikel:

In de opensource-UEFI-firmware EDK II is een kritieke kwetsbaarheid ontdekt waarmee aanvallers zonder inloggegevens code kunnen uitvoeren voordat Secure Boot en het besturingssysteem actief zijn. Het probleem, geregistreerd als CVE-2026-97631, heeft een CVSS-score van 9,5 en kan veel servers en opslagsystemen treffen die via het netwerk opstarten. Red Hat en Debian hebben gebruikers gewaarschuwd.

De fout zit in een driver die ICMP-foutmeldingen via IPv4 en IPv6 verwerkt. Omdat de opslag van die berichten niet goed wordt begrensd, kan een aanvaller een geheugenoverflow veroorzaken. Daarvoor moet diegene ICMP-verkeer naar het netwerk kunnen sturen; multicast maakt het mogelijk meerdere systemen tegelijk te bereiken. Naast code-uitvoering kan dit leiden tot een denial-of-serviceaanval.

Onderzoekers van Anthropic en Google meldden de kwetsbaarheid aan TianoCore, de gemeenschap achter EDK II. Er is nog geen officiële patch beschikbaar, hoewel al een oplossing is ontwikkeld. Fabrikanten moeten die verwerken in hun firmware en daarna updates uitbrengen. Tot die tijd kunnen organisaties PXE-boot uitschakelen of netwerken segmenteren, maar dat kan de werking van servers en diensten beïnvloeden. Een planning voor definitieve updates is niet bekend.