LONDON (IT BOLTWISE) – Eine 16 Jahre alte Lücke in EDK II kann bei PXE-Netzwerkboot Code im Firmware-Kontext ausführen. Der Angriff funktioniert ohne Passwort, erfordert aber eine präparierte Netzwerk-Nachricht im kurzen Boot-Fenster. Ein Fix existiert im Quellcode, doch bis zu einem Firmware-Update sind viele Betreiber vorerst ohne Patch-Option.
Für Serverbetreiber kommt eine neue Firmware-Sicherheitslücke besonders unkomfortabel: Sie spielt sich nicht in der installierten Betriebssystemsoftware ab, sondern in der UEFI-Firmware-Phase. Konkret betrifft sie EDK II, das quelloffene Referenzprojekt, auf dem viele UEFI-Implementierungen basieren. Laut TianoCore wurde die Schwachstelle als CVE-2026-97631 mit 9,5 von 10 Punkten bewertet und ermöglicht – unter bestimmten Bedingungen beim PXE-gestützten Netzwerkboot – das Ausführen von Code, bevor Secure Boot oder andere Start-Checks greifen.
Der zentrale Hebel ist PXE (Preboot Execution Environment). Beim PXE-Boot lädt ein System das Start-Image über das Netzwerk statt von einer lokalen Platte. Damit der Bootprozess im Fehlerfall korrekt reagieren kann, verarbeitet der PXE-Stack Rückmeldungen und Fehler-Nachrichten aus dem Netzwerk, einschließlich ICMP-Fehlermeldungen und Statusinformationen von Netzwerkteilen. Genau diese Verarbeitung enthält im EDK-II-Netzwerkboot-Code einen Buffer-Overflow: Die Software kopiert empfangene Meldungen in einen festen Speicherbereich mit 504 Byte, überprüft aber die Länge nicht korrekt – sowohl in der IPv4- als auch in der IPv6-Variante. Ein Angreifer muss deshalb nur eine einzelne, ausreichend lange und präparierte Nachricht während des laufenden Netzwerkboots an die Zieladresse senden.
Was sich zunächst nach „nur“ einem Crash anhört, wird im Firmware-Kontext problematisch. Die unmittelbare Folge einer unpassenden Payload kann ein Boot-Hängenbleiben und damit ein Denial-of-Boot sein. Dass ein zuverlässiges „Code Execution“-Szenario möglich ist, hängt jedoch von weiteren Details ab: Die TianoCore-Beschreibung geht davon aus, dass ein Angreifer ein sogenanntes „counterfeit event“ platzieren kann, das die Firmware dazu bringt, eigenen Code auszuführen. Das setzt Wissen über den exakten Firmware-Build voraus und macht die Entwicklung eines funktionierenden Exploits damit eher maßgeschneidert. Trotzdem bleibt der zeitliche Angriffspunkt der eigentliche Risikotreiber: Der Code würde innerhalb der Firmware laufen, also in einer Phase, in der Sicherheitsmechanismen wie Secure Boot noch nicht entschieden haben, ob der spätere Bootpfad vertrauenswürdig ist.
Betroffen sind EDK-II-Versionen bis einschließlich edk2-stable202608, der neuesten stabilen Linie mit Datum 21. August. PXE ist in der Standardkonfiguration des Projekts offenbar aktiviert, was erklärt, warum vor allem Umgebungen mit Netzwerkboot-Strategien ins Visier geraten: typische Use-Cases sind Server- und Data-Center-Infrastrukturen, in denen Betriebssysteme zentral bereitgestellt oder per Rollback/Imaging gestartet werden. Für klassische Home- oder Büro-Setups mit reinen lokalen Bootmedien gilt das Risiko hingegen als deutlich geringer, weil PXE dort in der Regel nicht als Standardweg genutzt wird. In der Praxis bleibt die Frage, wie viele reale Produkte die anfällige Funktion enthalten, offen; einige Hardware- und Plattformanbieter erklärten auf Anfrage, dass sie ihre Referenzimplementierungen nicht zwangsläufig in dieser Form ausliefern, während OEM- oder Systemhersteller die betreffende Funktion jederzeit übernehmen oder ergänzen können.
Ein Fix existiert, aber die operative „Installierbarkeit“ ist der Engpass. Laut Quelle wurde die fehlerhafte Kopierlogik bereits im EDK-II-Quellcode korrigiert: Oversized Messages sollen nun bei 504 Byte sauber gekappt werden, statt Speicherbereiche zu überschreiben. Der Patch sei in den Hauptentwicklungszweig am 15. Oktober eingeflossen. Bis zur Veröffentlichung eines stabilen Release-Tags, das den Fix enthält, blieb die Lage jedoch unverändert: Die stabilste als edk2-stable202608 aufgeführte Version soll den Patch noch nicht enthalten; die Advisory nennt entsprechend „Not patched currently“. Microsofts Project Mu habe den Fix dagegen bereits in eigenen Release-Branches übernommen, was für Betreiber mit entsprechender Firmware-Distribution zumindest perspektivisch schnellere Aktualisierungen bedeutet.
Wie kommt man also bis zum Firmware-Update voran? Praktisch stehen zwei Schritte im Vordergrund: erstens PXE dort deaktivieren, wo es nicht zwingend gebraucht wird; zweitens die Wahrscheinlichkeit reduzieren, dass während der Preboot-Phase überhaupt präparierte Netzwerkpakete in den Bootprozess gelangen. Die Quelle verweist zudem darauf, dass die Lücke nur im Bootfenster erreichbar ist – ein Hinweis, der in Monitoring und Incident-Response übersetzt werden kann. HD Moore, der Erfinder von Metasploit und Chief Research Officer bei Dragos, wird in den Kommentaren sinngemäß mit einem konkreten Bedrohungsbild zitiert: Ein Angreifer mit kurzzeitigem Zugriff im lokalen Netzwerk könne den Firmware-Startweg nutzen, um den Programmablauf an einem Zeitpunkt zu manipulieren, an dem noch sensible Komponenten wie etwa TPM-Zugriff verfügbar sein können. Laut den weiteren Ausführungen könnte das unter Umständen helfen, Disk-Verschlüsselung zu unterlaufen – besonders dann, wenn der Angreifer das Ziel „nur“ für kurze Zeit im Netzwerk erreicht.
Warum die Lücke so lange unentdeckt blieb, liefert die Historie gleich mit: Die fehlerhafte Kopierschleife soll seit einem Commit aus dem November 2010 im Code stecken. Öffentlich wurde die Schwachstelle durch eine koordinierte Offenlegung vorbereitet, ein Zeitplan für Januar 2027 war vorgesehen. Dieser Rahmen wurde jedoch früher aufgebrochen, nachdem eine Pull Request im EDK-II-Projekt den Bug samt CVE-Referenz und Fix sichtbar machte. TianoCore veröffentlichte daraufhin am 22. Oktober eine Advisory. In der Zwischenzeit gilt: Es gibt nach den Angaben in der Quelle keinen Hinweis auf aktive Ausnutzung, weder in öffentlich kuratierten „Known Exploited Vulnerabilities“-Katalogen zum damaligen Stand noch als gemeldete Forschungsbeobachtung. Für Betreiber heißt das vor allem, dass man jetzt Zeit hat, statt auf ein „später“ zu vertrauen – und dass Firmware-Update-Prozesse, PXE-Risikoabwägungen und Preboot-Monitoring in vielen Rechenzentren erneut priorisiert werden dürften.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kritische EDK-II-Lücke ermöglicht Code-Ausführung vor Secure Boot bei PXE" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kritische EDK-II-Lücke ermöglicht Code-Ausführung vor Secure Boot bei PXE" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kritische EDK-II-Lücke ermöglicht Code-Ausführung vor Secure Boot bei PXE« bei Google Deutschland suchen, bei Bing oder Google News!