Defensores em todo o mundo enfrenta o fardo de responder a mais um vulnerabilidade de execução de código malfeita, desta vez no firmware de inicialização usado pela maioria dos fornecedores de servidores e data centers do mundo.
A vulnerabilidade, com classificação de gravidade de 9,5 em 10, reside no TianoCore EDK IIuma base de código de código aberto que fabricantes de hardware e provedores de nuvem usam para criar o firmware UEFI que é executado durante a sequência de inicialização. No ano passado, um representante do Fórum UEFI chamado EDK2 a “solução/implementação proeminente das especificações UEFI”. Praticamente todos os fornecedores de UEFI (às vezes ainda chamados de IBVs ou fornecedores independentes de BIOS), incluindo AMI, Insyde e Phoenix, usam o código de referência extensivamente. O Projeto Mu, o fork EDK2 reforçado da Microsoft, também usou o código que contém o componente vulnerável.
A vulnerabilidade, rastreada como CVE-2026-97631, é uma falha de corrupção de memória em um componente ICMP que os invasores podem explorar para executar código malicioso executado antes que o sistema operacional e o firmware possam implementar defesas como Inicialização seguraque estabelece uma cadeia de confiança para todo o código, incluindo o Módulo de plataforma confiável (TPM), carregado durante a inicialização. Embora as cargas finais entregues pelo CVE-2026-97631 não tenham persistência, o que significa que são executadas apenas uma vez, elas podem fornecer aos invasores uma ampla abertura para instalar outras cargas que também são executadas no início do processo de inicialização.
O gato saiu da bolsa
As partes que descobriram o CVE-2026-97631 – Alex Matrosov da Anthropic e Dan Holmes do Google – providenciaram para que ele fosse fique em segredo até uma divulgação coordenada que estava marcada para janeiro. AMI, fabricante de placas-mãe e outros hardwares, publicou esta solicitação pull no mês passado que detalhou a vulnerabilidade e incluiu uma correção de código. Assim que a postagem chamou a atenção das partes descobridoras, os membros do Projeto TianoCore publicaram um assessoria pública semana passada.
Com o código de patch disponível publicamente, será trivial para hackers avançados aprenderem como a vulnerabilidade é acionada e criar explorações funcionais. Para agravar ainda mais a urgência, corrigir vulnerabilidades de código UEFI em milhões de usuários finais dispositivos vendidos e usado por milhares de fabricantes de hardware e provedores de nuvem é complicado e demorado. A notícia da vulnerabilidade chega seis dias depois de outra divulgação fracassada, esta envolvendo um vulnerabilidade crítica de execução de código na linguagem de programação PHP.
“Esta vulnerabilidade no analisador ICMP da pilha de rede EDK2 é interessante em termos de como afeta a cadeia de confiança e o ecossistema mais amplo”, disse HD Moore, criador do Metasploit e diretor de pesquisa da empresa de segurança Dragos. “Um invasor com a intenção de comprometer um endpoint ou servidor próximo poderia usar esse bug para sequestrar o fluxo do programa em um ponto onde o processo de inicialização ainda tem acesso a componentes confidenciais, como o TPM do endpoint. Isso poderia ser usado para quebrar a criptografia do disco para casos em que um invasor tem acesso à rede de curto prazo (e seria ainda mais fácil em um cenário de roubo).”
CVE-2026-97631 é um buffer overflow de 16 anos no driver PXE-Base Code (NetworkPkg/UefiPxeBcDxe), responsável por permitir que servidores, equipamentos de armazenamento e outros dispositivos sejam inicializados usando código baixado de uma rede local. Durante esse processo – conhecido como inicialização do ambiente de pré-execução – o driver usa um ouvinte de rede para monitorar erros de ICMP. Como o driver não impõe um limite de cópia de memória de 504 bytes, sobrescrevendo dados adjacentes, um insider malicioso ou um hacker que obteve acesso de baixo nível a uma rede local pode enviar uma mensagem de erro que anexa código além desse limite. O módulo IUEFI em execução na CPU fica corrompido.
Compartilhe esta publicação
Ajude a levar esta informação adiante — publique no seu perfil.