Les responsables de la cybersécurité du monde entier font face aux répercussions d'une nouvelle vulnérabilité logicielle extrêmement grave concernant l'exécution de codes en phase de démarrage précoce (Boot-time), présente dans les micrologiciels utilisés par la majorité des fournisseurs de serveurs et de centres de données à l'échelle mondiale.
La vulnérabilité affiche un score de gravite de 9,5 sur 10 et se concentre dans TianoCore EDK II, une base de code open source sur laquelle s'appuient les fabricants de matériel et les fournisseurs de services cloud pour développer les micrologiciels UEFI fonctionnant lors de la séquence de démarrage des appareils. Cette faille a été répertoriée sous l'identifiant CVE-2026-97631 ; il s'agit d'un défaut de corruption de mémoire au sein du composant ICMP qui permet à des attaquants d'exécuter des instructions de code malveillant avant le lancement du système d'exploitation et l'activation des mécanismes de protection tels que le Secure Boot.
Méthode d'exploitation de la faille et mécanisme technique
Le problème réside dans le code du pilote de démarrage réseau appelé PXE-Base Code, qui permet aux appareils et aux serveurs de démarrer à l'aide de codes téléchargés via le réseau local. Durant ce processus, le pilote utilise un outil d'écoute réseau pour surveiller les erreurs ICMP sans imposer de limite de copie de mémoire dépassant 504 octets. Cela permet à un attaquant disposant d'un accès de bas niveau au réseau local d'envoyer un message d'erreur d'une taille supérieure à la limite autorisée, entraînant l'écrasement des données adjacentes et la corruption du module UEFI s'exécutant sur l'unité centrale au niveau de privilège le plus élevé (Ring 0).
Pourquoi cette nouvelle est importante et quelles sont ses implications pratiques ?
La gravité de la faille réside dans sa capacité à contourner la chaîne de confiance avant le chargement du module de noyau de confiance TPM et des mécanismes de démarrage sécurisé, offrant aux attaquants une opportunité en or d'élever leurs privilèges ou de perturber les systèmes. Cependant, des contraintes pratiques limitent sa facilité d'exploitation : la faille exige en effet que l'attaquant ait un accès préalable au réseau local et devine des adresses spécifiques au sein du système cible, ce qui signifie qu'elle n'affecte pas les utilisateurs ordinaires ou les appareils démarrant exclusivement à partir de disques locaux, mais se limite aux organisations qui dépendent du démarrage réseau et utilisent le framework EDK2.
Les chercheurs et les développeurs de micrologiciels se sont empressés de fournir les mises à jour et les instructions nécessaires, en recommandant aux organisations de vérifier auprès de leurs fournisseurs de systèmes et d'appliquer d'urgence les correctifs logiciels, tout en envisageant de désactiver temporairement les fonctionnalités de démarrage réseau lorsqu'elles ne sont pas nécessaires et de surveiller les journaux pour parer à toute tentative d'exploitation.