CVE-2026-97631: EDK-II-Lücke gefährdet Server beim PXE-Boot
TianoCore hat am 22. Oktober vor CVE-2026-97631 gewarnt, einer kritischen Schwachstelle in EDK II, die Angreifern während eines PXE-Netzwerkstarts Codeausführung vor Secure Boot ermöglichen kann. Die Lücke ist mit 9,5 von 10 bewertet; ein Quellcode-Fix existiert, aber eine stabile EDK-II-Version mit der Korrektur steht noch nicht bereit.
EDK II dient als Referenzcode für UEFI-Firmware, die vor dem Betriebssystem startet. Ausgenutzt wird die Lücke nur in dem kurzen Zeitfenster, in dem ein Gerät über das Netzwerk bootet. Ein Angreifer muss dafür kein Passwort und keinen bestehenden Zugang zum Gerät besitzen, muss es aber während dieses Netzwerkstarts erreichen können. Red Hat und SUSE bewerten das Szenario deshalb als Angriff aus einer benachbarten Netzwerkposition, nicht aus dem offenen Internet.
Technisch handelt es sich um einen Pufferüberlauf im PXE-Code. Der Treiber kopiert ICMP-Fehlermeldungen in einen festen Speicherbereich von 504 Byte; fehlerhafte Größenprüfungen bei IPv4 und IPv6 lassen längere Nachrichten darüber hinaus in benachbarten Speicher schreiben. Das kann den Bootvorgang zum Stillstand bringen. Eine zuverlässige Codeausführung ist laut der Warnung deutlich schwieriger und erfordert Wissen über den exakten Firmware-Build.
Die Ausführung erfolgt an einer besonders frühen Stelle des Startvorgangs: Der eingeschleuste Code läuft in der Firmware, bevor Secure Boot und andere Prüfungen geladen beziehungsweise abgeschlossen sind. Die Ausführung überlebt einen Neustart zwar nicht automatisch, kann aber nach Angaben der Analyse dazu genutzt werden, weiteren Code zu installieren, der bei jedem Boot startet. Ein direkter Weg in ein Netzwerk ist die Schwachstelle dagegen nicht; als realistisches Szenario gilt ein Angreifer mit bereits vorhandenem Zugriff auf das lokale Netzwerk oder ein Insider.
Betreiber sollten zunächst klären, ob ihre Geräte überhaupt per PXE booten. Systeme, die ausschließlich von einer lokalen Festplatte starten, sind laut der vorliegenden Analyse nicht betroffen. Die Lücke steckt in EDK II bis einschließlich edk2-stable202608; als betroffen oder noch nicht behoben führen Red Hat, SUSE und Debian ihre entsprechenden Pakete für bestimmte Distributionen auf. Welche ausgelieferten Produkte tatsächlich den verwundbaren Code enthalten, ist jedoch nicht bekannt.
Ein Patch wurde in den Entwicklungszweig übernommen und begrenzt die Kopie übergroßer Nachrichten auf 504 Byte. Für Betreiber bedeutet das dennoch nicht, dass sie den Fix sofort installieren können: Sie benötigen ein BIOS- oder UEFI-Update des jeweiligen Firmware- oder Geräteherstellers. Microsofts Project Mu hat die Korrektur bereits in seine Release-Zweige übernommen und am 26. Oktober markierte Builds veröffentlicht; eine neue stabile EDK-II-Version mit dem Fix gibt es weiterhin nicht.
Bis ein Hersteller ein passendes Firmware-Update bereitstellt, nennt die Warnung keinen allgemeinen Workaround. Betreiber, die PXE nicht benötigen, können den Netzwerkstart deaktivieren, um die Angriffsfläche zu verringern. Zusätzlich empfiehlt die vorliegende Analyse, den Netzwerkverkehr und die Protokolle während des Bootvorgangs auf entsprechende Versuche zu beobachten. Hinweise auf eine bereits erfolgte Ausnutzung liegen bislang nicht vor; die Schwachstelle war am 27. Oktober nicht im KEV-Katalog der CISA enthalten.