Een kwetsbaarheid in TianoCore EDK II, beter bekend als EDK2, bedreigt een groot deel van de server- en datacenterinfrastructuur wereldwijd. De fout heeft de aanduiding CVE-2026-97631 en een ernstscore van 9,5 op 10.
EDK2 is open source en dient als basis voor UEFI-firmware, de software die apparaten tijdens het opstarten initialiseert. Vrijwel alle grote leveranciers van UEFI-firmware, waaronder AMI, Insyde en Phoenix, gebruiken delen van deze code. Ook Project Mu van Microsoft, een beveiligde variant van EDK2, bevatte het kwetsbare onderdeel.
De fout is een geheugenbeschadiging in een onderdeel dat netwerkopstarten mogelijk maakt. Tijdens een PXE-boot, waarbij een apparaat software via het lokale netwerk laadt, verwerkt de firmware foutmeldingen van het ICMP-protocol. De betrokken driver controleert daarbij niet goed of een bericht groter is dan het beschikbare geheugen van 504 bytes.
Een aanvaller die tijdens het opstarten toegang heeft tot het netwerk, kan daardoor gegevens buiten het bedoelde geheugen laten schrijven. Dat kan ertoe leiden dat de opstartprocedure vastloopt. Bij kennis van de gebruikte firmwareversie kan de aanvaller ook eigen code laten uitvoeren op het hoogste processorniveau, nog voordat het besturingssysteem en beveiligingsmaatregelen zoals Secure Boot actief zijn.
Risico voor beveiligingsketen
De code kan onder meer toegang krijgen tot onderdelen die tijdens het vroege opstartproces beschikbaar zijn, zoals een Trusted Platform Module (TPM). Volgens HD Moore, oprichter van Metasploit en onderzoeksdirecteur bij beveiligingsbedrijf Dragos, kan misbruik daardoor helpen bij het omzeilen van versleuteling wanneer een aanvaller tijdelijk netwerktoegang heeft.
De kwetsbaarheid geeft volgens de beschikbare informatie geen directe toegang tot een netwerk. Een aanvaller moet al een zekere mate van controle over het lokale netwerk hebben. Dat maakt misbruik vooral relevant voor kwaadwillenden met toegang binnen een organisatie, zoals insiders, ransomwaregroepen of statelijke hackers.
De fout dateert uit de PXE-ondersteuning van EDK2 en zou al zestien jaar in de code zitten. De ontdekking wordt toegeschreven aan Alex Matrosov van Anthropic en Dan Holmes van Google. Een openbare codewijziging met de oplossing maakte details voortijdig beschikbaar, waarna het EDK2-project een beveiligingsadvies publiceerde.
Het herstellen van UEFI-fouten is ingewikkeld. Fabrikanten van moederborden, servers en cloudinfrastructuur moeten afzonderlijke firmware-updates ontwikkelen en verspreiden. Daardoor kunnen kwetsbare systemen nog lange tijd blijven bestaan, vooral wanneer ze geen ondersteuning meer krijgen.
