Contexte de la vulnérabilité

Le code de référence UEFI utilisé par la plupart des firmwares serveur, TianoCore EDK2, contenait depuis 16 ans un débordement de tampon dans le pilote PXE Base Code. Identifiée sous le numéro CVE-2026-97631 avec un score CVSS 9.5, la faille permettait à un attaquant d’envoyer un paquet ICMP d’erreur surdimensionné pendant le démarrage réseau (PXE) et d’exécuter du code en ring 0 avant le chargement de Secure Boot et de la chaîne de confiance TPM.

Mécanisme d'exploitation

Le pilote PXE traite les messages ICMP pour signaler les erreurs de démarrage. En injectant un ICMP Type 3 Code 13 dont la charge utile dépasse la taille attendue, le tampon interne est écrasé, ce qui corrompt la pile d’appels et redirige l’exécution vers du code contrôlé par l’attaquant. L’exploitation nécessite deux conditions : un accès au réseau local du serveur et un réglage précis de l’adresse MAC cible, propre à chaque modèle matériel, car le pilote valide partiellement l’adresse avant de copier les données.

Correctif et mesures d’atténuation

Un correctif a été soumis par AMI plusieurs mois avant la divulgation coordonnée prévue en janvier 2027, ce qui a entraîné une fuite du patch. Les fabricants de firmware UEFI sont invités à publier des mises à jour incorporant la validation de longueur du champ ICMP et à désactiver le démarrage PXE lorsqu’il n’est pas requis. En pratique, les administrateurs peuvent :

# Désactiver le démarrage PXE dans le BIOS/UEFI
set bootorder=HDD,USB,CDROM
# Bloquer le trafic ICMP Type 3 sur le VLAN de boot
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j DROP

Ces commandes limitent la surface d’attaque en empêchant la réception de paquets ICMP malformés sur les segments de réseau dédiés au boot. Par ailleurs, la surveillance du trafic réseau pour détecter des paquets ICMP anormalement volumineux constitue une bonne pratique de détection.

Impact et limites

Le vecteur d’attaque reste local : sans accès au réseau interne, l’exploitation est impossible. Cependant, dans les environnements de data‑center où le PXE est couramment activé pour le provisioning automatisé, la faille expose potentiellement l’ensemble du serveur à une compromission du noyau avant même que les mécanismes de sécurité matériels ne prennent le relais. Le correctif ne résout pas les configurations où le PXE est indispensable, ce qui impose aux équipes de sécurité de réévaluer leurs processus de déploiement. Enfin, la fuite du correctif avant la divulgation officielle a réduit la fenêtre d’exposition, mais a également montré la fragilité de la chaîne d’approvisionnement du firmware UEFI.