Een ernstige kwetsbaarheid in veelgebruikte UEFI-firmware maakt het mogelijk servers aan te vallen voordat het besturingssysteem is geladen. Het beveiligingslek heeft een ernstscore van 9,5 en kan aanvallers toegang geven tot de meest bevoorrechte onderdelen van een systeem. Vooral datacenters en organisaties die servers via een netwerk opstarten, lopen mogelijk risico.
Dat meldt Ars Technica. De kwetsbaarheid, geregistreerd als CVE-2026-97631, bevindt zich in TianoCore EDK II. Deze opensourcecode wordt wereldwijd gebruikt door fabrikanten van serverhardware en leveranciers van UEFI-firmware. Onder meer AMI, Insyde en Phoenix maken gebruik van onderdelen van EDK II. Het is nog niet duidelijk welke systemen precies kwetsbaar zijn.
De fout bestaat al zestien jaar (!) en bevindt zich in de software die het opstarten van computers via een netwerk mogelijk maakt. Deze techniek, bekend als PXE, wordt veel toegepast in datacenters om servers centraal te installeren en te beheren.
Tijdens het opstartproces verwerkt de firmware onder meer ICMP-berichten. Door een fout in de verwerking van deze berichten kunnen aanvallers meer gegevens naar het geheugen schrijven dan daarvoor ruimte beschikbaar is. Hierdoor ontstaat een bufferoverloop die kan worden misbruikt om kwaadaardige code uit te voeren.
Beveiliging omzeilen
Het gevaar schuilt vooral in het moment waarop de aanval plaatsvindt. De kwaadaardige code kan worden uitgevoerd voordat het besturingssysteem actief is en voordat de gebruikelijke beveiligingscontroles zijn afgerond.
Een succesvolle aanval kan daardoor toegang geven tot gevoelige systeemonderdelen, waaronder de Trusted Platform Module (TPM). Ook kunnen aanvallers mogelijk aanvullende malware installeren die bij volgende opstartprocedures actief wordt.
Dat betekent overigens niet dat iedere server op afstand kan worden overgenomen. Aanvallers moeten toegang hebben tot het relevante netwerk en hun aanval doorgaans aanpassen aan de firmwareversie en hardwareconfiguratie van het doelwit. De kwetsbaarheid vormt dan ook vooral een risico wanneer aanvallers al toegang tot een bedrijfsnetwerk hebben verkregen.
Volgens beveiligingsonderzoekers kan het lek onder bepaalde omstandigheden worden gebruikt om bestaande beveiligingsmaatregelen te omzeilen of hogere systeemrechten te verkrijgen.
Patchen kan lang duren
De kwetsbaarheid werd ontdekt door onderzoekers van Anthropic en Google. Zij wilden het probleem oorspronkelijk pas in januari openbaar maken, zodat fabrikanten voldoende tijd kregen om updates voor te bereiden.
Die planning werd doorkruist toen firmwareleverancier AMI voortijdig code publiceerde waarmee het probleem kon worden verholpen. Daardoor werden ook technische details van de kwetsbaarheid zichtbaar. Het TianoCore-project besloot vervolgens een beveiligingsadvies uit te brengen.
Hoewel de benodigde codecorrectie relatief eenvoudig is, kan het uitrollen van updates ingewikkeld worden. EDK II wordt gebruikt door talrijke fabrikanten, die de aanpassingen afzonderlijk in hun firmware moeten verwerken. Bovendien zijn sommige oudere servers mogelijk niet meer voorzien van beveiligingsondersteuning.
Intel stelt dat zijn momenteel ondersteunde commerciële producten voor zover bekend niet getroffen zijn. Het bedrijf sluit echter niet uit dat fabrikanten kwetsbare onderdelen in hun eigen firmware hebben opgenomen.
Organisaties krijgen het advies bij hun hardwareleveranciers na te gaan of hun systemen kwetsbaar zijn. Zolang updates ontbreken, kan het tijdelijk uitschakelen van PXE-netwerkopstart het risico beperken. Systemen die uitsluitend vanaf lokale opslagmedia opstarten, worden niet door deze specifieke kwetsbaarheid getroffen.