Faille critique découverte dans les firmwares UEFI
Une faille critique a été identifiée dans le logiciel open source TianoCore EDK II, sur lequel de nombreux fabricants s’appuient pour développer leurs firmwares UEFI. C’est ce que rapporte Ars Technica. Le problème s’est vu attribuer l’identifiant CVE-2026-97631, avec un niveau de gravité de 9,5 sur 10. La faille permet d’exécuter du code malveillant avant même le démarrage du système d’exploitation.
L’origine du problème est un dépassement de tampon dans le composant de démarrage réseau PXE Base Code. Lors d’un démarrage par le réseau, celui-ci traite les messages d’erreur ICMP. Pour chaque message, 504 octets de mémoire sont alloués, mais la longueur des données entrantes n’est pas vérifiée. Si le message dépasse la taille autorisée, une partie des données est écrite dans une zone mémoire voisine.
Pour mener l’attaque, le pirate doit envoyer un message réseau spécialement conçu à un appareil au moment où il démarre par le réseau. Cela peut provoquer un plantage et, si les particularités de la version du firmware sont connues, permet d’exécuter du code arbitraire avec les privilèges maximaux du processeur. La chaîne de démarrage de confiance est alors rompue, et l’accès au module TPM ou à un disque chiffré peut s’ouvrir. Après un redémarrage, le code malveillant ne persiste pas, mais pendant son exécution il peut installer une charge supplémentaire sur l’appareil.
En pratique, l’exploitation de la faille nécessite un accès au réseau local, par exemple via un compte compromis ou une autre présence au sein de l’organisation. CVE-2026-97631 ne permet pas à elle seule de pénétrer dans un réseau. La menace ne concerne que les appareils avec démarrage réseau, en premier lieu ceux dont le firmware repose sur EDK II avec prise en charge de PXE. Les systèmes qui démarrent depuis des disques internes ne sont pas touchés.
Le code EDK II est utilisé par des fournisseurs de firmwares comme AMI, Insyde et Phoenix, et le code vulnérable figure aussi dans Project Mu, la variante axée sur la sécurité améliorée par Microsoft. Un nombre important de systèmes est menacé. La faille a été découverte par Alex Matrosov d’Anthropic et Dan Holmes-Mitra de Google, qui avaient convenu de ne pas divulguer les détails avant janvier 2027. Pourtant, en septembre, AMI a publié une mise à jour du code décrivant le problème et sa solution, après quoi le projet TianoCore a lui aussi rendu l’information publique.
Le code corrigé, accessible à tous, fait craindre que des attaquants l’analysent et trouvent un moyen d’exploiter la faille. Le développement et le déploiement des mises à jour de firmware demanderont beaucoup de temps, puisque des millions de systèmes sont concernés. Intel a déclaré qu’aucun modèle vulnérable n’a été relevé parmi ses produits commerciaux qui reçoivent des mises à jour de sécurité. Le composant concerné ne fait pas partie du code de référence d’Intel, mais les fabricants de cartes mères et d’ordinateurs peuvent l’utiliser. Arm a souligné que le problème ne concerne pas ses produits. Il est recommandé aux organisations utilisant le démarrage réseau de demander à leurs fournisseurs de firmwares si leur matériel est touché et quand une correction est attendue, et, si possible, de désactiver temporairement le démarrage par le réseau.