A TianoCore EDK II firmware fejlesztési környezet PXE Base Code driverében memóriakezelési hibát azonosítottak, amely hálózati indítás közben kihasználható lehet. A CVE-2026-97631 azonosítójú, CVSS v4.0 szerinti 9,5-ös, kritikus súlyosságú sérülékenység a NetworkPkg/UefiPxeBcDxe komponens IPv4 és IPv6 alapú ICMP hibaüzenet kezelését érinti. A hiba csak akkor kihasználható, ha a rendszer PXE-n keresztül indul és a támadó képes elérni a bootfolyamat ideje alatt a célgépet. Úgy emlegetik, mint a „legtöbb szervert érintő hiba a Földön”, de ez a megfogalmazás pontatlan. Az érintett szerverek nem kizárólag a Földön találhatók, az ISS-en is működnek kereskedelmi célú szerverrendszerek, például a HPE Spaceborne Computer program részeként.
Az EDK II a TianoCore projekt nyílt forráskódú firmware fejlesztési környezete, amelyből hardvergyártók és felhőszolgáltatók UEFI firmware-t készíthetnek. Az UEFI a gép bekapcsolása és az operációs rendszer betöltése között futó firmware réteg. Feladata többek között a hardver inicializálása és a rendszerindítás megkezdése. A PXE (Preboot Execution Environment) lehetővé teszi, hogy egy számítógép hálózatról töltsön be indítókódot vagy operációs rendszert. Ezt gyakran használják nagy gépparkok automatizált telepítéséhez, helyreállításához és karbantartásához. A hibás komponens éppen ezt a folyamatot támogatja.
Az EDK II használata önmagában nem jelenti a sérülékenység jelenlétét. A sérülékenység elsősorban azokat a szervezeteket érinti, amelyeknél a gépek hálózatról, PXE-n keresztül indulnak. Azok a rendszerek, amelyek kizárólag helyi meghajtóról bootolnak, a közzétett leírás alapján nem tartoznak a közvetlen kockázati körbe. Az otthoni és kis irodai felhasználók kockázata ezért jellemzően alacsonyabb. A gyártók különböző verziókat, konfigurációkat és saját módosításokat alkalmaznak, ezért az érintettséget a konkrét firmware kiadás alapján kell ellenőrizni. PXE hálózati indítás közben a driver nyitva tart egy fogadási kérést ICMP hibaüzenetekre. A beérkező üzeneteket egy 504 bájt méretű, rögzített mezőbe másolja. A TianoCore közleménye szerint az IPv4 és IPv6 kezelőkben is hibás a másolási határ kezelése. A túl hosszú üzenetek egy része a mezőn túlra írhat, miközben a célpont előrehaladása is helytelenül, kumulatív hossz alapján történik.
Ez klasszikus puffer túlcsordulás. A támadó által befolyásolt adat a kijelölt memóriaterületen túlra kerülhet, és felülírhatja a szomszédos adatokat. A közlemény szerint a támadó ICMP hibaüzenetet a PXE boot során, a célgép IP-címére küldve juttathatja el. A hálózati előfeltétel jelentős korlát. A hiba nem tekinthető egyszerű, internet felől széles körben alkalmazható támadási vektornak. A célgépet éppen PXE bootolni kell, és a támadónak el kell érnie a megfelelő hálózati környezetet. Ugyanakkor egy már belső hálózaton tartózkodó támadó, vagy a telepítési infrastruktúrát elérő szereplő számára a bootfolyamat ideje támadási ablak lehet. Célzott kódfuttatás esetén a támadónak ismernie kell a cél firmware buildjét, és a támadást az adott rendszerhez kell igazítania.
A firmware-környezetben futó kód az operációs rendszer védelmi rétegei előtt aktiválódhat. Ezért a Secure Boot és a TPM önmagában nem feltétlenül akadályozza meg a hibás firmware kód futását. A sérülékenység a rendszerindítás olyan korai szakaszában jelentkezik, amikor ezek a mechanizmusok még nem ellenőrizték az operációs rendszer komponenseit.
A BIOS/UEFI frissítést a hardvergyártónak vagy rendszerintegrátornak kell elkészítenie, tesztelnie és kiadnia. A TianoCore közleménye a javítást a #13302 pull requesthez köti; a korábbi #13200 pull requestet duplikátumként zárták le.
Javasolt intézkedések
- Feltérképezés – Azonosítani kell, mely szerverek és más eszközök használhatnak PXE bootot, valamint azt, hogy hol engedélyezett ez a funkció.
- Gyártói egyeztetés – A pontos modell, firmware verzió és konfiguráció alapján megerősítést kell kérni az érintettségről és a javítási tervről.
- Hálózati boot korlátozása – Ahol üzletileg indokolt, a PXE boot ideiglenesen letiltható, vagy annak hálózati elérése szűkíthető.
- Firmware frissítés – A gyártó által kiadott javított UEFI frissítést telepíteni kell a támogatott rendszereken.
- Naplózás – A PXE boot ideje alatti szokatlan ICMP forgalmat és a hálózati indítási eseményeket figyelni kell.
A Secure Boot és a TPM használata továbbra is ajánlott, azonban ez a konkrét hiba ellen nem nyújt teljes védelmet, mert a probléma a firmware bootfolyamatának korai szakaszában jelentkezik. A fő védekezési elem a gyártói firmware javítás és a PXE alapú indítás támadási felületének csökkentése.