Scoperta una vulnerabilità critica nei firmware UEFI
Una vulnerabilità critica è stata individuata nel software open source TianoCore EDK II, sulla cui base molti produttori sviluppano i firmware UEFI. Lo ha riferito Ars Technica. Al problema è stato assegnato l’identificativo CVE-2026-97631 e un livello di gravità di 9,5 su 10. La falla consente di eseguire codice dannoso prima dell’avvio del sistema operativo.
All’origine c’è un errore di buffer overflow nel componente di avvio di rete PXE Base Code. Durante il boot via rete, esso elabora i messaggi di errore ICMP. Per ciascun messaggio vengono riservati 504 byte di memoria, ma la lunghezza dei dati in ingresso non viene verificata. Se il messaggio supera la dimensione consentita, una parte dei dati viene scritta in un’area di memoria adiacente.
Per condurre l’attacco, il malintenzionato deve inviare un messaggio di rete appositamente costruito a un dispositivo mentre questo si avvia dalla rete. Un simile intervento può causare un arresto anomalo e, se sono note le caratteristiche della specifica versione del firmware, consente di eseguire codice arbitrario con i massimi privilegi del processore. In tal caso la catena di avvio attendibile viene compromessa e potrebbe aprirsi l’accesso al modulo TPM o al disco cifrato. Dopo il riavvio il codice dannoso non persiste, ma durante l’esecuzione può installare sul dispositivo un carico aggiuntivo.
In pratica, per sfruttare la vulnerabilità serve l’accesso alla rete locale, ad esempio tramite un account compromesso o un’altra forma di presenza all’interno dell’organizzazione. Di per sé CVE-2026-97631 non permette di penetrare in una rete. La minaccia riguarda solo i dispositivi con avvio di rete, in primo luogo quelli con firmware basati su EDK II con supporto PXE. I sistemi che si avviano da unità interne non sono interessati.
Il codice EDK II è utilizzato da fornitori di firmware come AMI, Insyde e Phoenix, mentre il frammento vulnerabile è presente anche in Project Mu, la variante orientata alla sicurezza sviluppata da Microsoft. Un numero considerevole di sistemi è a rischio. La vulnerabilità è stata scoperta da Alex Matrosov di Anthropic e Dan Holmes-Mitra di Google, che si erano accordati per non divulgare i dettagli fino a gennaio 2027. Tuttavia, a settembre AMI ha pubblicato un aggiornamento del codice con la descrizione del problema e la soluzione, dopodiché le informazioni sono state rese pubbliche anche dal progetto TianoCore.
Il codice con la correzione, accessibile a tutti, comporta il rischio che gli aggressori lo analizzino e trovino un modo per sfruttare la falla. Lo sviluppo e la distribuzione degli aggiornamenti dei firmware richiederanno molto tempo, trattandosi di milioni di sistemi. Intel ha dichiarato che tra i suoi prodotti commerciali che ricevono aggiornamenti di sicurezza non risultano modelli vulnerabili. Il componente interessato non fa parte del codice di riferimento di Intel, ma può essere adottato dai produttori di schede madri e computer. Arm ha precisato che il problema non riguarda i suoi prodotti. Alle organizzazioni che utilizzano l’avvio di rete si consiglia di chiedere ai fornitori di firmware se il loro hardware è coinvolto e quando è prevista la correzione e, se possibile, di disattivare temporaneamente il boot via rete.