Une vulnérabilité critique de UEFI notée 9,5 pourrait permettre des attaques avant le démarrage du système, mais les risques d'exploitation sont faibles en raison de conditions rares.
Vulnérabilité découverte dans le micrologiciel UEFI
Une vulnérabilité critique a été identifiée dans l'UEFI, un micrologiciel utilisé dans de nombreux appareils informatiques, notamment les ordinateurs Mac à processeur Intel, la plupart des PC et certaines machines à processeur ARM. La faille, connue sous le nom de CVE-2026-97631, reçoit une note de gravité de 9,5 sur 10, ce qui indique qu'elle pourrait présenter des risques importants si elle était exploitée. Le risque réel est toutefois considéré comme faible en raison des conditions particulières requises pour mener une attaque.Le rôle de l'UEFI dans l'informatique
L'UEFI est chargé d'initialiser le matériel et de charger le système d'exploitation pendant le démarrage de l'ordinateur. Il remplace l'ancien BIOS et offre des fonctionnalités plus avancées, comme l'affichage d'images, le chargement de pilotes et l'accès au réseau. La vulnérabilité se produit pendant le démarrage par le réseau (PXE), un processus utilisé pour récupérer les fichiers d'installation d'un système depuis un serveur.Nature de la vulnérabilité
La vulnérabilité découle d'un dépassement de mémoire tampon (buffer overflow) dans la gestion des messages d'erreur de l'UEFI. L'UEFI ne réserve que 504 octets pour les messages d'erreur. Si un serveur envoie davantage de données, cela peut provoquer un dépassement de mémoire tampon. Un attaquant pourrait alors exécuter du code avant le démarrage du système d'exploitation et potentiellement installer un logiciel malveillant qui persiste même après le redémarrage de la machine.Facteurs atténuants
Plusieurs éléments réduisent le risque d'exploitation. Le démarrage par le réseau n'est pas courant dans de nombreux environnements, et les serveurs qui utilisent le démarrage PXE ne redémarrent généralement pas souvent. L'attaque exige également que l'attaquant contrôle le serveur PXE, ce qui suppose une compromission locale. De plus, la vulnérabilité nécessite des adaptations spécifiques selon les types de serveurs et les configurations matérielles, ce qui rend l'exploitation plus complexe.Les difficultés de correction de la faille
Corriger la vulnérabilité est complexe. Pour chaque serveur, il faut identifier le fabricant de la carte mère, la version de l'UEFI et le fournisseur afin de trouver une mise à jour disponible. La mise à jour de l'UEFI n'est pas aussi simple que celle d'un système d'exploitation et nécessite souvent d'arrêter le serveur pendant plusieurs minutes, ce qui peut ne pas être envisageable dans certains contextes. Les mises à jour du micrologiciel comportent aussi des risques, car une erreur peut rendre le matériel inutilisable.Développement de l'UEFI et conséquences
Apple utilise un micrologiciel légèrement différent, appelé EFI, mais les principes sous-jacents sont similaires. L'UEFI est généralement développé par quelques fournisseurs, comme AMI, Insyde et Phoenix, qui s'appuient sur le code EDK II, un projet open source. La vulnérabilité se trouve dans ce code, ce qui illustre la complexité de la gestion des micrologiciels sur un large éventail de plateformes matérielles.
