Kritische Ausführungscode-Schwachstelle in UEFI-Firmware Entdeckt, Die Globale Server Gefährdet

Image: Ars Technica · Source

Ein schwerwiegender Fehler in der TianoCore EDK II UEFI-Firmware, die bei den meisten Servern verwendet wird, ermöglicht frühzeitige Codeausführung und riskiert Sicherheitsverletzungen bevor Secure Boot aktiviert ist.

Eine kritische Sicherheitslücke mit der Kennung CVE-2026-97631 wurde in TianoCore EDK II entdeckt, einer Open-Source-UEFI-Firmware-Implementierung, die weltweit in Servern umfangreich eingesetzt wird. Dieser Speicherfehler im ICMP-Komponententreiber des PXE-Base Code erlaubt Angreifern, bösartigen Code früh im Bootprozess auszuführen, noch bevor Schutzmechanismen wie Secure Boot und das Trusted Platform Module (TPM) die Systemintegrität gewährleisten können.

Der Fehler geht auf einen 16 Jahre alten Pufferüberlauf im Modul NetworkPkg\UefiPxeBcDxe zurück, das ICMP-Fehlermeldungen während des Netzwerkboots (PXE Boot) verarbeitet. Konkret wird ein Limit von 504 Bytes beim Kopieren von ICMP-Fehlerdaten nicht durchgesetzt, wodurch speziell gestaltete Nachrichten Speicher überschreiben und die CPU-Ausführung auf Ring-0-Privilegienebene übernehmen können. Dies eröffnet Angreifern mit Netzwerkzugriff – häufig Insider oder hochentwickelte Gegner, die Segmente lokaler Netzwerke kontrollieren – die Möglichkeit, Payloads während des Systemstarts einzuschleusen und auszuführen.

Entdeckt von Alex Matrosov von Anthropic und Dan Holmes von Google, war die Schwachstelle ursprünglich für eine koordinierte öffentliche Offenlegung im Januar 2027 geplant. Eine vorzeitige Offenlegung durch den Hardware-Hersteller AMI führte jedoch zu einer öffentlichen Warnung. Da Exploit-Code potenziell einfach aus dem veröffentlichten Patch entwickelt werden kann, steigt das Risiko von Angriffen auf zahllose Server und Cloud-Geräte erheblich. Die Behebung ist aufgrund der großen Installationsbasis, verschiedener Hardware-Anbieter und der Notwendigkeit von Firmware-Updates anspruchsvoll.

Sicherheitsexperten weisen darauf hin, dass diese Schwachstelle die frühe Boot-Vertrauenskette kompromittiert und Angreifern erlaubt, die Firmware-Attestierung zu umgehen und möglicherweise sogar die Laufwerksverschlüsselung zu brechen, insbesondere bei kurzzeitigem Netzwerkzugang oder Geräte-Diebstahl. Das Problem ist besonders gravierend, da es auftritt, bevor Betriebssystem und sichere Firmware-Komponenten vollständig aktiv sind.

Im Gegensatz zu anderen bekannten UEFI-Sicherheitslücken wie LogoFail oder BootHole kann diese Schwachstelle durch eine Codekorrektur behoben werden, ohne dass Schlüsselmanagement für Secure Boot oder Betriebssystem-Updates notwendig sind. Dennoch bleibt die Verteilung von BIOS-/UEFI-Firmware-Updates eine logistische Herausforderung.

Die Schwachstelle betrifft hauptsächlich Server und Enterprise-Geräte, die Netzwerkboot mittels EDK II-Firmware verwenden. Private oder kleine Büros, die ausschließlich vom lokalen Laufwerk booten, sind nicht betroffen. Große Anbieter wie Intel und Arm geben an, dass ihre aktuell unterstützten kommerziellen Produkte nicht direkt betroffen sind, obwohl Komponenten mit EDK II potenziell Risiko tragen können. Anfragen bei weiteren betroffenen Organisationen blieben unbeantwortet.

Angesichts der Schwere und der weiten Verbreitung der EDK II-Referenzimplementierung wird Organisationen mit netzwerkbootfähigen Servern geraten, ihre Firmware-Versionen zu überprüfen, Anweisungen der Hersteller einzuholen und als Vorsichtsmaßnahme das Netzwerkboot vorübergehend zu deaktivieren. Die Aktivierung von Sicherheitsfunktionen wie TPM und Secure Boot bleibt trotz der Schwachstelle wichtig, obwohl sie diesen speziellen Angriff nicht vollständig abwehren. Das Überwachen möglicher Angriffsversuche durch Protokollierung wird ebenfalls empfohlen.

Diese Schwachstelle unterstreicht weiterhin bestehende Risiken in fundamentalen Firmware-Schnittstellen, die für die Sicherheit der globalen IT-Infrastruktur entscheidend sind. Sie erinnert an die Komplexität und Herausforderungen bei der Sicherung von Frühphasen-Bootumgebungen angesichts sich entwickelnder Bedrohungslagen.