Vulnerabilidad Crítica de Ejecución de Código Descubierta en Firmware UEFI que Pone en Riesgo Servidores Globales

Image: Ars Technica · Source

Una grave falla en el firmware UEFI TianoCore EDK II usado por la mayoría de servidores permite la ejecución temprana de código, arriesgando brechas antes de que se activen defensas como Secure Boot.

Se ha identificado una vulnerabilidad crítica de seguridad conocida como CVE-2026-97631 en TianoCore EDK II, una implementación de firmware UEFI de código abierto ampliamente utilizada en servidores a nivel mundial. Este error de corrupción de memoria en el componente ICMP del controlador PXE-Base Code permite a atacantes ejecutar código malicioso temprano en el proceso de arranque, antes de que protecciones como Secure Boot y el Trusted Platform Module (TPM) establezcan la integridad del sistema.

La falla proviene de un desbordamiento de búfer que data de hace 16 años en el módulo NetworkPkg\UefiPxeBcDxe, el cual procesa mensajes de error ICMP durante el arranque por red (PXE boot). Específicamente, no impone un límite de 504 bytes al copiar datos de error ICMP, permitiendo que mensajes cuidadosamente elaborados sobrescriban la memoria y secuestren la ejecución del CPU en nivel de privilegio ring 0. Esto ofrece una vía para atacantes con acceso a la red —a menudo internos o adversarios avanzados que controlan segmentos de redes locales— para inyectar y ejecutar cargas durante el inicio del sistema.

Descubierta por Alex Matrosov de Anthropic y Dan Holmes de Google, la vulnerabilidad estaba originalmente programada para divulgación pública coordinada en enero de 2027. Sin embargo, una divulgación prematura por parte del fabricante de hardware AMI provocó un aviso público. Debido a que el código de explotación puede ser trivial de desarrollar a partir del parche liberado, el riesgo de ataques contra incontables servidores y dispositivos en la nube ha aumentado. La corrección es complicada dada la extensa base instalada, la diversidad de fabricantes y la necesidad de actualizar el firmware.

Expertos en seguridad señalan que esta falla compromete la cadena de confianza inicial del arranque, permitiendo a atacantes eludir la certificación del firmware y potencialmente romper el cifrado de disco, especialmente en escenarios con acceso de red temporal o robo de dispositivos. El problema es especialmente peligroso porque ocurre antes de que el sistema operativo y componentes seguros del firmware estén plenamente operativos.

A diferencia de otros bugs de UEFI de alto perfil como LogoFail o BootHole, esta vulnerabilidad puede abordarse mediante una corrección de código sin necesidad de manejar la gestión de claves de Secure Boot o actualizar el sistema operativo. Sin embargo, la necesidad de desplegar actualizaciones de BIOS/UEFI en múltiples dispositivos sigue siendo un desafío logístico.

La vulnerabilidad afecta principalmente a servidores y equipos empresariales que usan arranque por red con firmware EDK II. No impacta a usuarios domésticos o pequeñas oficinas que inician exclusivamente desde discos locales. Grandes proveedores como Intel y Arm afirman que sus productos comerciales bajo soporte actuales no están afectados directamente, aunque componentes que integran EDK II podrían presentar riesgos. Consultas a otras organizaciones importantes afectadas no han recibido respuesta.

Dada la gravedad y el uso generalizado de la implementación de referencia EDK II, se aconseja a las organizaciones que operen servidores con arranque en red verificar las versiones de firmware, buscar orientación de los proveedores y considerar deshabilitar temporalmente el arranque por red como medida preventiva. Mantener habilitadas características de seguridad como TPM y Secure Boot sigue siendo importante, aunque no mitigan completamente esta amenaza específica. También se recomienda monitorear intentos de explotación mediante registros.

Esta vulnerabilidad subraya los riesgos continuos en interfaces fundamentales de firmware críticas para la seguridad de la infraestructura global de TI. Es un recordatorio de la complejidad y los desafíos para proteger entornos de arranque tempranos ante un panorama de amenazas en evolución.