Een kritieke kwetsbaarheid in UEFI-firmware, geregistreerd als CVE-2026-97631, zit al zestien jaar in de broncode van EDK II en stelt een aanvaller in staat code uit te voeren voordat Secure Boot of enige andere opstartcontrole actief wordt.
EDK II is de open-source referentie-implementatie die de meeste hardwarefabrikanten gebruiken om hun UEFI-firmware op te bouwen. Het lek, met een CVSS-score van 9,5, zit in de PXE-netwerkbootcode: tijdens het opstarten via het netwerk luistert de PXE-driver naar ICMP-foutberichten en kopieert die naar een vast geheugengebied van 504 bytes. Zowel in de IPv4- als de IPv6-code ontbreekt een correcte lengtecontrole, waardoor een bericht groter dan die 504 bytes de buffer overschrijft en aangrenzend geheugen beschadigt.
Eén gemanipuleerd ICMP-foutbericht naar het netwerkadres van de machine tijdens het opstarten is al genoeg om de boot te laten vastlopen. Code laten uitvoeren is een stuk moeilijker en vereist precieze kennis van de exacte firmwarebuild, maar is volgens onderzoekers mogelijk. Omdat dit allemaal gebeurt vóórdat het besturingssysteem of Secure Boot actief wordt, kan een aanvaller zo een firmware-implantaat plaatsen dat bij elke volgende opstart meedraait.
Misbruik is alleen mogelijk tijdens een netwerkboot via PXE, die in EDK II-builds standaard aanstaat. Machines die alleen van een lokale schijf opstarten, lopen geen risico. De aanvaller heeft geen wachtwoord of eerdere toegang nodig, maar moet het doelsysteem binnen het netwerk kunnen bereiken in het korte tijdvenster van de boot. Het risico treft daarmee vooral servers en datacenterapparatuur.
De fout zit al sinds een commit uit november 2010 in de code en raakt firmware van leveranciers als AMI, Insyde, Phoenix en Microsofts Project Mu, die allemaal op EDK II bouwen. Intel en Arm melden dat hun eigen productportfolio’s niet rechtstreeks getroffen zijn, al kunnen OEM’s de kwetsbare functie zelf hebben toegevoegd. Red Hat, SUSE en Debian markeren hun edk2-pakketten inmiddels als kwetsbaar.
Een fix is op 15 oktober samengevoegd in de hoofdbranch van EDK II, maar stond op 28 oktober nog in geen enkele stabiele release; Microsofts Project Mu nam de patch wel al op, met getagde builds vanaf 26 oktober. Er zijn geen meldingen van actief misbruik, en CISA had het lek op 27 oktober nog niet in zijn Known Exploited Vulnerabilities-catalogus staan.
Praktisch: wie servers met netwerkboot beheert en nog niet kan patchen, kan PXE tijdelijk uitschakelen als die functie niet nodig is. Houd daarnaast de updates van je firmwareleverancier in de gaten, want de fix moet via een BIOS- of UEFI-update bij de eindgebruiker terechtkomen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.