Kritische UEFI-Lücke gefährdet massenhaft Server in aller Welt

Eine seit 16 Jahren bestehende Sicherheitslücke in der UEFI-Firmware kann es Angreifern ermöglichen, bereits vor dem Start des Betriebssystems eigenen Code mit höchsten Systemrechten auszuführen.

Fast maximaler Schweregrad

Die jetzt bekannt gewordene Schwachstelle CVE-2026-97631 erreicht einen sehr hohen Schweregrad von 9,5 von 10 Punkten und betrifft potenziell zahlreiche Server und Rechenzentren rund um die Welt. Besonders gefährdet sind Systeme, die über das Netzwerk gestartet werden und dafür auf den Open-Source-Code EDK II setzen.

Die Schwachstelle steckt im PXE-Base-Code-Treiber von EDK II, einer weitverbreiteten Referenzimplementierung für die UEFI-Firmware moderner Computer. Zahlreiche Hardwarehersteller und Firmwareanbieter verwenden die Codebasis, darunter auch Unternehmen, die BIOS- und UEFI-Lösungen für Server und andere Geräte entwickeln. Wie viele Systeme tatsächlich betroffen sind, ist bislang unklar.


Die Sicherheitslücke beruht auf einem Fehler bei der Verarbeitung von ICMP-Fehlermeldungen während des Netzwerkstarts. Der zuständige Treiber kopiert empfangene Daten in einen Speicherbereich, der auf 504 Byte begrenzt ist. Aufgrund einer fehlerhaften Längenprüfung können Angreifer jedoch größere Nachrichten einschleusen und damit benachbarte Speicherbereiche überschreiben.

Gelingt der Angriff, kann der eingeschleuste Code bereits in der UEFI-Umgebung ausgeführt werden. Das geschieht, bevor Schutzmechanismen des Betriebssystems greifen. Angreifbar sind damit auch Sicherheitsfunktionen, die eigentlich den Startvorgang absichern sollen. Die Forscher Alex Matrosov von Anthropic und Dan Holmes von Google entdeckten die Schwachstelle und wollten Informationen eigentlich erst im Januar veröffentlichen.

Angriffe nicht so einfach

Trivial sind Attacken auf betroffene Systeme allerdings nicht. So müssen Angreifer während des PXE-Startvorgangs Zugriff auf den Netzwerkpfad des Zielsystems haben. Zudem müssen sie die konkrete Firmware-Konfiguration kennen und ihren Angriff darauf abstimmen. Ein beliebiger Angriff aus dem Internet ist damit nicht ohne Weiteres möglich. Neben der Ausführung von Schadcode können manipulierte Nachrichten aber auch dazu führen, dass der Startvorgang hängen bleibt, so dass vielleicht keine Übernahme, wohl aber eine erhebliche Betriebsstörung möglich ist.

Informationen über die Schwachstelle und eine mögliche Korrektur wurden vorzeitig öffentlich. Dadurch können Angreifer den Fehler analysieren und eigene Exploits entwickeln, noch bevor alle Hersteller ihre Firmware aktualisiert haben. Die Verteilung entsprechender Updates dürfte angesichts der Vielzahl betroffener Geräte ohnehin zeitaufwendig sein.

Für gewöhnliche Heimcomputer, die ausschließlich von einer lokalen Festplatte oder SSD starten, besteht nach bisherigem Kenntnisstand kein unmittelbares Risiko. Organisationen mit netzwerkgestützten Startumgebungen sollten hingegen prüfen, ob ihre Systeme betroffen sind. Administratoren sollten sich beim jeweiligen Firmwareanbieter nach Updates erkundigen und den Netzwerkstart vorübergehend deaktivieren, sofern er nicht benötigt wird. Secure Boot und TPM bleiben wichtige Schutzmaßnahmen, verhindern diesen Angriff jedoch nicht zuverlässig. Auch die Überwachung von Systemprotokollen kann helfen, verdächtige Aktivitäten zu erkennen.

Siehe auch: