Skip to content
Hacker Posts

EDK II CVE-2026-97631 : débordement pré-boot dans le pilote PXE UEFI

CVE-2026-97631 (CVSS 9,5) : débordement dans le pilote de démarrage réseau PXE d'EDK II, présent depuis 2010. Pas encore de firmware corrigé ; désactivez PXE si possible.

Publié le 3 min de lecture
cveuefiedk2alerte

TianoCore a publié le 22 octobre l'avis GHSA-99cj-7hg9-mp4m pour CVE-2026-97631, un débordement mémoire pré-boot dans le pilote de démarrage réseau PXE d'EDK II. Le score est de CVSS 9,5 (vecteur 4.0 AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H). EDK II est le code UEFI libre de référence sur lequel s'appuient AMI, Insyde, Phoenix et le Project Mu de Microsoft : la surface d'exposition couvre l'essentiel du marché du firmware serveur. Le code fautif remonte à un commit de 2010, soit environ 16 ans de diffusion.

Ce qui est touché

Le composant vulnérable est NetworkPkg/UefiPxeBcDxe, le pilote PXE Base Code. Selon l'avis, les gestionnaires d'erreurs ICMP IPv4 et IPv6 (PxeBcIcmpErrorDpcHandle et PxeBcIcmp6ErrorDpcHandle) copient chaque message reçu dans le champ de taille fixe de 504 octets Mode.IcmpError sans contrôle de bornes correct : un message trop long provoque une écriture hors limites (CWE-120/131/787). Un seul message ICMP forgé, envoyé pendant un démarrage réseau, suffit à déclencher la faille — sans authentification. Le code s'exécute avant Secure Boot et le reste de la chaîne de démarrage.

Le blocage ou le plantage du boot est le résultat facile. L'exécution de code est plus ardue : l'avis précise qu'il faut connaître la version exacte du firmware pour implanter une charge utilisable, et Red Hat comme SUSE classent la faille en réseau adjacent, non exploitable depuis Internet. L'attaquant réaliste est un initié ou quelqu'un disposant déjà d'un point d'appui bas niveau sur le réseau de démarrage.

Versions et correctifs

  • Affecté : EDK II master au 14 septembre 2026 et antérieur. Red Hat marque le paquet edk2 de RHEL 8, 9 et 10 affecté et non corrigé ; SUSE et Debian aussi. Intel et Arm se déclarent non concernés.
  • Correctif : fusionné dans la branche principale d'EDK II le 15 octobre via la PR #13302, qui tronque les messages trop longs à 504 octets. Le champ « versions corrigées » de l'avis indique toujours « Not patched currently » : aucune version stable publiée ne l'embarque. Le Project Mu de Microsoft a intégré le correctif et publié des builds étiquetés le 26 octobre.
  • Exploitation : aucune exploitation connue ; absente du catalogue CISA KEV au 27 octobre.

Que faire

  1. Inventoriez les machines qui démarrent en PXE : c'est la seule surface exposée.
  2. Désactivez PXE là où il est inutile et segmentez le VLAN de provisionnement pour qu'aucun hôte arbitraire n'atteigne le réseau de démarrage.
  3. Suivez les avis de vos constructeurs (Dell, HPE, Lenovo, Supermicro, et les IBV sous-jacents) : le correctif passe par une mise à jour de firmware, donc un redémarrage.
  4. Surveillez le trafic réseau au démarrage et filtrez les ICMP inattendus vers les clients PXE en attendant les firmwares.

Contexte

La faille est créditée à Alex Matrosov (Anthropic) et Dan Holmes-Mitra (Google), qui ont aussi proposé le correctif. La divulgation coordonnée était prévue pour janvier 2027, mais a été devancée le 28 septembre quand une pull request EDK II (#13200) a décrit publiquement la faille par son numéro CVE — Ars Technica parle d'une divulgation ratée. C'est la même pile réseau d'EDK II qui avait produit la série PixieFail de failles PXE en 2024 : le code réseau du firmware de référence reste le terrain des bugs pré-boot, et la latence des correctifs en aval demeure le point dur.

Articles liés