Une faille critique du firmware UEFI, CVE-2026-97631, permet aux attaquants d'injecter des commandes lors du démarrage réseau, représentant un risque de sécurité majeur pour les serveurs.
Faille de sécurité critique découverte dans le micrologiciel des serveurs
Une vulnérabilité de sécurité critique, référencée CVE-2026-97631, a été identifiée dans la fonction de démarrage réseau de la plupart des micrologiciels UEFI utilisés dans les serveurs. Cette fonction, connue sous le nom de PXE, fait partie de la base de code open source EDK II gérée par le projet TianoCore, largement utilisée par des éditeurs de micrologiciels comme AMI, Insyde et Phoenix, ainsi que par la version renforcée de Microsoft appelée Project Mu.La vulnérabilité repose sur un dépassement de mémoire
La faille provient d'un problème de dépassement de mémoire dans le pilote PXE, plus précisément dans les composants appelés NetworkPkg ou UefiPxeBcDxe. Pendant le processus de démarrage réseau, le pilote PXE reçoit des messages d'erreur via ICMP. Il copie ces messages dans un espace mémoire de taille fixe de 504 octets, mais poursuit la copie même lorsque le message est plus long, ce qui peut entraîner un dépassement.Risque élevé dans des conditions précises
La vulnérabilité affiche un score CVSS 4.0 de 9,5, ce qui indique un risque très élevé. Toutefois, son exploitation requiert des conditions précises : l'utilisation du démarrage PXE, courant sur les serveurs mais peu fréquent sur les appareils grand public, et la connaissance de la version exacte du micrologiciel visé. Une fois ces conditions réunies, un attaquant peut injecter des commandes sans avoir besoin de s'authentifier.Découverte et calendrier des correctifs
La faille a été découverte par Alex Matrosov, d'Anthropic, et Dan Holmes-Mitra, de Google, qui ont également proposé un correctif. L'équipe TianoCore a réservé l'identifiant CVE le 24 septembre. Cependant, une erreur dans le processus de divulgation s'est produite lorsque AMI a publié une demande de fusion publique à la fin septembre, décrivant la vulnérabilité et incluant le correctif.Impact et réaction des fournisseurs
Le correctif a bien été proposé, mais les parties concernées avaient convenu de reporter la publication des détails jusqu'en janvier, afin de laisser aux éditeurs de micrologiciels le temps de publier leurs mises à jour. La divulgation anticipée par AMI a accéléré ce calendrier. Désormais, des entreprises comme Dell, Lenovo, SuperMicro et HPE doivent publier des mises à jour, ce qui peut nécessiter une interruption de service des serveurs. Intel et Arm ont déclaré que leurs produits ne sont pas concernés, tandis que d'autres, comme AMD, Microsoft et Amazon, n'ont pas confirmé leur situation.Atténuation et recommandations
Les utilisateurs sont invités à recenser leurs machines dotées de PXE et à désactiver cette fonction si elle n'est pas nécessaire. Si PXE est indispensable, il convient de le confiner à un segment réseau isolé. La surveillance des pages d'assistance des fabricants et le filtrage des messages ICMP inattendus sont également recommandés afin de réduire le risque d'exploitation.
