TianoCore опубликовала advisory GHSA-99cj-7hg9-mp4m об уязвимости CVE-2026-97631 (CVSS 9.5) в EDK II — открытой эталонной реализации UEFI, на которой построены прошивки большинства серверов и ПК.
Суть
PXE-драйвер принимает сообщения ICMP об ошибках и копирует каждое в буфер фиксированного размера 504 байта. Проверки размера неверны и в коде IPv4, и в коде IPv6, поэтому более длинное сообщение затирает соседнюю память. Ошибочный код появился в коммите ноября 2010 года.
Условия атаки
- Машина должна загружаться по сети (PXE в стандартной сборке включён по умолчанию).
- Пароль и доступ не нужны: достаточно отправить одно подготовленное сообщение в окно загрузки. Red Hat и SUSE оценивают вектор как «смежная сеть».
- Чаще всего результат — зависание загрузки. Для выполнения кода нужно знать точную сборку прошивки. Код выполняется до проверок Secure Boot и сам не закрепляется, но может установить то, что закрепится.
Кого касается
EDK II до edk2-stable202608 включительно. Уязвимые пакеты указали Red Hat (RHEL 8, 9, 10), SUSE и Debian. Intel и Arm сообщают, что их продукты не затронуты. AMD, Phoenix, AMI, Microsoft и Amazon не ответили. Известных атак нет, в KEV уязвимости нет.
Исправление и что делать
Патч (PR #13302) влит в main 15 октября, в стабильных релизах его нет. В Microsoft Project Mu сборки с исправлением есть с 26 октября. Скоординированное раскрытие планировали на январь 2027 года, но его опередил публичный PR от 28 сентября. Обходного пути нет: если PXE не нужен, отключите его, а также следите за обновлениями прошивок от вендоров и сетевым трафиком при загрузке.
TianoCore has published advisory GHSA-99cj-7hg9-mp4m for CVE-2026-97631 (CVSS 9.5) in EDK II, the open-source reference UEFI implementation that underlies firmware on most servers and PCs.
The bug
The PXE driver listens for ICMP error messages and copies each one into a fixed 504-byte buffer. The size checks are wrong in both the IPv4 and IPv6 code, so a longer message overwrites adjacent memory. The flawed code dates to a November 2010 commit.
Attack conditions
- The machine must be network booting (PXE is enabled by default in the standard build).
- No credentials or prior access are needed, just one crafted message sent during the boot window. Red Hat and SUSE rate the vector as adjacent-network.
- The usual result is a boot hang. Code execution requires knowing the exact firmware build. Code runs before Secure Boot checks and doesn’t persist on its own, but it can install something that does.
Who is affected
EDK II up to and including edk2-stable202608. Red Hat (RHEL 8, 9, 10), SUSE and Debian list affected packages. Intel and Arm say their products are not known to be affected. AMD, Phoenix, AMI, Microsoft and Amazon did not respond. There are no known attacks, and the flaw is not in KEV.
Fix and what to do
The patch (PR #13302) was merged into main on October 15, but no stable release includes it. Microsoft’s Project Mu has had fixed builds since October 26. A January 2027 coordinated disclosure was overtaken by a public PR on September 28. There’s no workaround: disable PXE where you don’t need it, watch for firmware updates from your vendors, and monitor boot-time network traffic.