🗓️ Contexte

Article publié le 27 octobre 2026 par Dan Goodin sur Ars Technica. La divulgation est qualifiée de « botched » (ratée) : AMI a publié prématurément un pull request contenant le correctif, rompant l’embargo prévu pour janvier, ce qui a contraint TianoCore à publier un avis public en urgence.

🔍 Vulnérabilité

CVE-2026-97631 est un buffer overflow de 16 ans dans le driver PXE Base Code (NetworkPkg/UefiPxeBcDxe) de TianoCore EDK II, le codebase open source de référence pour le firmware UEFI. La sévérité est évaluée à 9.5/10.

  • Le driver maintient un listener réseau pour les messages d’erreur ICMP durant le boot PXE
  • Il copie chaque message reçu dans un champ fixe de 504 octets (Mode.IcmpError)
  • La boucle de copie ne vérifie pas correctement les limites dans les handlers IPv4 (PxeBcIcmpErrorDpcHandle) et IPv6 (PxeBcIcmp6ErrorDpcHandle)
  • Un message supérieur à 504 octets continue d’être copié, écrasant des données adjacentes en mémoire
  • Le pointeur de destination est avancé par la longueur cumulée plutôt que par fragment

💥 Impact

  • Exécution de code arbitraire en ring 0 (niveau de privilège CPU maximal) dans l’environnement firmware UEFI
  • Le code s’exécute avant le chargement du système d’exploitation, de Secure Boot et du TPM
  • Contournement des processus d’attestation cryptographique
  • Possibilité de briser le chiffrement disque (accès au TPM avant ses défenses)
  • Déni de service possible (blocage de la séquence de boot)
  • Les payloads finaux n’ont pas de persistance native, mais peuvent installer d’autres composants persistants

🎯 Périmètre affecté

  • Tous les équipements utilisant EDK2 avec la fonctionnalité PXE activée (activée par défaut)
  • Fournisseurs UEFI concernés : AMI, Insyde, Phoenix, et le fork Project Mu de Microsoft
  • Serveurs, équipements de stockage, datacenters bootant depuis le réseau
  • Non affecté : postes personnels et PME bootant uniquement depuis disque

⚠️ Conditions d’exploitation

  • L’attaquant doit avoir un accès réseau local (insider ou acteur ayant compromis le réseau)
  • La cible doit être en cours de séquence PXE boot au moment de l’attaque
  • L’exploit doit être adapté à chaque modèle/version/configuration cible (adresses mémoire variables)
  • Vecteur de livraison : unicast ICMP vers l’adresse IP de la cible

🔬 Découverte et divulgation

  • Découverte par Alex Matrosov (Anthropic) et Dan Holmes (Google)
  • Divulgation coordonnée prévue en janvier — rompue par la publication d’AMI
  • Commentaires d’experts : HD Moore (Dragos, créateur de Metasploit) et Jesse Michael (Eclypsium)

📌 Type d’article

Article de presse spécialisée couvrant une divulgation de vulnérabilité critique à impact mondial, avec analyse technique détaillée et contexte de divulgation ratée.

🧠 TTPs et IOCs détectés

TTP

  • T1542.002 — Pre-OS Boot: Component Firmware (Defense Evasion)
  • T1542.001 — Pre-OS Boot: System Firmware (Persistence)
  • T1499.004 — Endpoint Denial of Service: Application or System Exploitation (Impact)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1190 — Exploit Public-Facing Application (Initial Access)

IOC

  • CVEs : CVE-2026-97631 — NVD · CIRCL
  • Chemins : NetworkPkg/UefiPxeBcDxe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 28 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 71/100 (haute)

  • ✅ arstechnica.com — source reconnue (liste interne) (20pts)
  • ✅ 13929 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://arstechnica.com/security/2026/10/code-execution-flaw-in-uefi-firmware-threatens-most-servers-on-planet-earth/