Kritische Sicherheitslücke in UEFI-Firmware entdeckt
In der Open-Source-Software TianoCore EDK II, auf deren Grundlage viele Hersteller UEFI-Firmware entwickeln, wurde eine kritische Sicherheitslücke festgestellt. Darüber berichtete Ars Technica. Dem Problem wurde die Kennung CVE-2026-97631 zugewiesen, die Gefahrenstufe liegt bei 9,5 von 10 Punkten. Die Lücke ermöglicht die Ausführung von Schadcode noch vor dem Start des Betriebssystems.
Ursache ist ein Pufferüberlauf in der Netzwerk-Boot-Komponente PXE Base Code. Beim Booten über das Netzwerk verarbeitet sie ICMP-Fehlermeldungen. Für jede solche Meldung werden 504 Byte Speicher reserviert, die Länge der eingehenden Daten wird jedoch nicht geprüft. Überschreitet die Meldung die zulässige Größe, wird ein Teil der Daten in einen benachbarten Speicherbereich geschrieben.
Für einen Angriff muss der Täter eine speziell präparierte Netzwerknachricht an ein Gerät senden, während es über das Netzwerk bootet. Das kann zu einem Absturz führen und erlaubt bei Kenntnis der Besonderheiten der jeweiligen Firmware-Version die Ausführung beliebigen Codes mit den höchsten Prozessorrechten. Dabei wird die Kette des vertrauenswürdigen Starts unterbrochen, und es kann Zugriff auf das TPM-Modul oder auf verschlüsselte Laufwerke entstehen. Nach einem Neustart bleibt der Schadcode nicht erhalten, kann jedoch während der Ausführung zusätzliche Schadsoftware auf dem Gerät installieren.
In der Praxis ist für die Ausnutzung der Lücke Zugang zum lokalen Netzwerk erforderlich, etwa über ein kompromittiertes Konto oder eine andere Präsenz innerhalb der Organisation. CVE-2026-97631 allein ermöglicht kein Eindringen in ein Netzwerk. Betroffen sind nur Geräte mit Netzwerk-Boot, vor allem solche mit EDK-II-basierter Firmware und PXE-Unterstützung. Systeme, die von internen Laufwerken starten, sind nicht betroffen.
Den EDK-II-Code nutzen Firmware-Anbieter wie AMI, Insyde und Phoenix, und der anfällige Abschnitt findet sich auch in Project Mu, der sicherheitsorientierten Variante, die Microsoft weiterentwickelt hat. Eine beträchtliche Zahl von Systemen ist gefährdet. Die Lücke entdeckten Alex Matrosov von Anthropic und Dan Holmes-Mitra von Google, die vereinbart hatten, Details bis Januar 2027 nicht offenzulegen. Im September veröffentlichte jedoch AMI ein Code-Update mit Beschreibung des Problems und der Lösung, woraufhin auch das Projekt TianoCore die Informationen bekannt machte.
Der öffentlich zugängliche Code mit der Korrektur birgt das Risiko, dass Angreifer ihn analysieren und einen Weg finden, die Lücke auszunutzen. Entwicklung und Verteilung von Firmware-Updates werden viel Zeit beanspruchen, da es um Millionen von Systemen geht. Intel erklärte, unter seinen kommerziellen Produkten, die Sicherheitsupdates erhalten, seien keine anfälligen Modelle festgestellt worden. Die betroffene Komponente ist nicht Teil des Intel-Referenzcodes, kann aber von Herstellern von Mainboards und Computern verwendet werden. Arm betonte, das Problem betreffe seine Produkte nicht. Organisationen mit Netzwerk-Boot wird empfohlen, bei ihren Firmware-Anbietern nachzufragen, ob ihre Hardware betroffen ist und wann mit einer Korrektur zu rechnen ist, und nach Möglichkeit den Netzwerk-Boot vorübergehend zu deaktivieren.