Cybersicherheitsverantwortliche weltweit stehen vor den Folgen einer neuen, äußerst gefährlichen Softwareschwachstelle zur Ausführung von Code in der frühen Startphase (Boot-time), die in der Firmware enthalten ist, die von der Mehrheit der Server- und Rechenzentrumsanbieter weltweit genutzt wird.
Die Schwachstelle weist einen Schweregrad von 9,5 von 10 auf und befindet sich in TianoCore EDK II, einer Open-Source-Datenbasis, auf die Hardwarehersteller und Cloud-Dienstanbieter angewiesen sind, um UEFI-Firmware zu entwickeln, die während der Startsequenz von Geräten ausgeführt wird. Die Schwachstelle wurde unter der Kennung CVE-2026-97631 erfasst und stellt einen Speicherfehler (Memory Corruption) innerhalb der ICMP-Komponente dar, der es Angreifern ermöglicht, bösartigen Code auszuführen, noch bevor das Betriebssystem gestartet und Sicherheitsmechanismen wie Secure Boot aktiviert werden.
Art der Ausnutzung und technischer Mechanismus
Das Problem liegt im Code des Netzwerk-Boot-Treibers namens PXE-Base Code, der dafür verantwortlich ist, dass Geräte und Server über Code booten können, der aus dem lokalen Netzwerk heruntergeladen wird. Während dieses Prozesses verwendet der Treiber einen Netzwerk-Listener, um ICMP-Fehler zu überwachen, ohne eine Speicher-Kopiergrenze von 504 Byte zu erzwingen. Dies ermöglicht es einem Angreifer mit niederschrelligem Zugriff auf das lokale Netzwerk, eine Fehlermeldung zu senden, die das zulässige Limit überschreitet, was zum Überschreiben benachbarter Daten und zur Beschädigung des UEFI-Moduls führt, das auf der CPU mit der höchsten Privilegienstufe (Ring 0) läuft.
Warum diese Nachricht wichtig ist und welche praktischen Auswirkungen sie hat
Die Gefahr der Schwachstelle liegt in ihrer Fähigkeit, die Vertrauenskette zu umgehen, noch bevor das vertrauenswürdige Kernel-Modul TPM und die Secure-Boot-Mechanismen geladen werden, was Angreifern eine goldene Gelegenheit bietet, Berechtigungen zu eskalieren oder Systeme zu sabotieren. Es gibt jedoch praktische Einschränkungen, die die Ausnutzung erschweren: Die Schwachstelle erfordert, dass der Angreifer bereits Zugriff auf das lokale Netzwerk hat und bestimmte Adressen innerhalb des Zielsystems errät. Das bedeutet, dass sie normale Benutzer oder Geräte, die ausschließlich von lokalen Laufwerken booten, nicht betrifft, sondern auf Unternehmen beschränkt ist, die auf das Booten über das Netzwerk angewiesen sind und das EDK2-Framework verwenden.
Forscher und Firmware-Entwickler haben schnell Updates und notwendige Leitlinien bereitgestellt. Unternehmen wird empfohlen, Systemanbieter zu überprüfen, Software-Patches dringend anzuwenden, die Deaktivierung von Netzwerk-Boot-Funktionen bei Nichtgebrauch in Betracht zu ziehen und Protokolle auf etwaige Ausnutzungsversuche zu überwachen.