CVE-2026–97631 w UEFI: groźna luka w EDK II uderza w rozruch PXE

Luka otrzymała ocenę 9,5/10 i dotyczy parsera ICMP w sieciowym stosie EDK2. Umożliwia ona doprowadzenie do wykonania złośliwego kodu jeszcze przed uruchomieniem systemu operacyjnego, co oznacza, że atak może wyprzedzić mechanizmy takie jak Secure Boot oraz elementy łańcucha zaufania powiązane z TPM. Choć sam wstrzyknięty ładunek nie ma charakteru trwałego, może posłużyć jako etap otwierający drogę do dołożenia kolejnych komponentów.

Źródłem problemu jest mające około 16 lat przepełnienie bufora w sterowniku PXE-Base Code oznaczonym jako NetworkPkg/UefiPxeBcDxe. W czasie startu z sieci moduł odbiera komunikaty błędów ICMP, po czym kopiuje je do pola o stałej wielkości 504 bajtów. Jeśli pakiet okaże się dłuższy, może dojść do nadpisania sąsiednich obszarów pamięci – zarówno w scenariuszach z IPv4, jak i IPv6.

CVE-2026–97631 zidentyfikowali Alex Matrosov (Anthropic) oraz Dan Holmes (Google). Publiczne ujawnienie planowano na styczeń, jednak w ubiegłym miesiącu AMI opublikowało zgłoszenie zmian, w którym znalazł się opis podatności wraz z poprawką. W konsekwencji TianoCore opublikował następnie oficjalny komunikat. Upowszechnienie kodu naprawczego może teraz ułatwić analizę mechanizmu błędu i przyspieszyć tworzenie exploitów.

Wykorzystanie luki nie oznacza automatycznego "wejścia" do sieci bez punktu zaczepienia. Napastnik musi kontrolować sieć lokalną albo dysponować niskim poziomem dostępu, a dodatkowo zgrać działania z momentem rozruchu przez PXE. Skutkiem może być m.in. zablokowanie startu urządzenia, a przy przygotowaniu exploita dopasowanego do konkretnego modelu – także uruchomienie kodu z najwyższymi uprawnieniami procesora, czyli na poziomie ring 0.

Zagrożenie nie obejmuje typowych użytkowników domowych ani małych biur, o ile urządzenia uruchamiane są wyłącznie z lokalnego dysku. Ryzyko koncentruje się na środowiskach, w których system startuje z sieci lokalnej lub z zasobów dostępnych z internetu. EDK2 jest szeroko wykorzystywany przez dostawców UEFI, w tym m.in. AMI, Insyde i Phoenix, a podatny komponent występował również w Project Mu rozwijanym przez Microsoft.

Intel przekazał, że nie ma informacji o produktach objętych wsparciem, których dotyczyłby ten problem, jednocześnie podkreślając rolę producentów płyt głównych oraz gotowych systemów. Arm z kolei ocenił, że CVE-2026–97631 nie odnosi się bezpośrednio do jego portfolio.