Η κατάρρευση της αλυσίδας εμπιστοσύνης
Το EDK2 (EFI Development Kit II) αποτελεί το de facto πρότυπο για το UEFI firmware σε παγκόσμιο επίπεδο, χρησιμοποιούμενο από κολοσσούς όπως η AMI, η Insyde και η Phoenix. Η ανακάλυψη του CVE-2026-97631 αναδεικνύει μια θεμελιώδη αδυναμία: την έλλειψη αυστηρών ελέγχων μνήμης στον network stack. Συγκεκριμένα, ο driver UefiPxeBcDxe αποτυγχάνει να επιβάλει όριο 504 bytes κατά την αντιγραφή ICMP error messages, επιτρέποντας σε έναν εισβολέα να υπερβεί τα όρια του buffer και να αλλοιώσει δεδομένα στο context structure του firmware.
Τεχνική ανάλυση του exploit
Το πρόβλημα εντοπίζεται στους handlers PxeBcIcmpErrorDpcHandle και PxeBcIcmp6ErrorDpcHandle. Ο κώδικας προχωρά σε εγγραφή δεδομένων πέραν του καθορισμένου πεδίου Mode.IcmpError, χρησιμοποιώντας έναν δείκτη προορισμού που αυξάνεται λανθασμένα. Επειδή η διαδικασία αυτή συμβαίνει κατά το PXE boot, ο επιτιθέμενος μπορεί να εγχύσει κώδικα που εκτελείται με προνόμια ring 0, παρακάμπτοντας πλήρως τις δικλείδες ασφαλείας που φορτώνονται μεταγενέστερα.
Προκλήσεις στην αντιμετώπιση
Σε αντίθεση με προηγούμενα περιστατικά όπως το BlackLotus, η παρούσα ευπάθεια επιδέχεται διόρθωση μέσω ενός τυπικού firmware update. Ωστόσο, η διασπορά του EDK2 σε χιλιάδες hardware vendors καθιστά τη διαδικασία patch management εξαιρετικά αργή και περίπλοκη. Οι διαχειριστές συστημάτων καλούνται να αξιολογήσουν την έκθεσή τους, ειδικά σε περιβάλλοντα όπου το network boot είναι ενεργοποιημένο εξ ορισμού, και να παρακολουθούν στενά τα logs για ύποπτη δραστηριότητα κατά τη φάση της εκκίνησης.