NIEUWS

IN HET KORT: Beveiligingsexperts slaan alarm over een ernstig en diepgaand beveiligingslek in de UEFI-firmware van servers wereldwijd. De kwetsbaarheid, die is geregistreerd onder de code CVE-2026-97631 en een dreigingsscore van 9.5 uit 10 heeft gekregen, treft de open-source TianoCore EDK II-referentiecode.

Omdat deze code wereldwijd de fundamentele basis vormt voor de opstartsoftware van uiteenlopende hardware- en moederbordfabrikanten, kan het lek potentieel miljoenen datacenters en enterprise-systemen raken.

Kwetsbaarheid in netwerkopstartproces (PXE)

Het probleem bevindt zich specifiek in de netwerkopstartdriver (PXE) binnen de EDK II-code. Tijdens een netwerkboot verwerkt de firmware inkomende ICMP-foutmeldingen. Door een fout in de manier waarop de firmware de geheugenlimieten van deze berichten controleert, kan er een klassieke buffer overflow ontstaan.

Een kwaadwillende die zich op hetzelfde netwerk bevindt of via een omweg netwerkpakketjes weet te sturen naar een machine tijdens een opstartfase, kan hier misbruik van maken. Dit opent de deur voor het uitvoeren van arbitraire programmacode voordat het eigenlijke besturingssysteem wordt geladen.

Gevaar vóór activering van Secure Boot

Het gevaarlijke van de kwetsbaarheid is het moment waarop de exploit plaatsvindt. Omdat het lek zich manifesteert tijdens de allereerste opstartfase, kan schadelijke code worden uitgevoerd nog voordat beveiligingsmechanismen zoals Secure Boot of andere opstartbeveiligingen volledig actief zijn. Hierdoor kunnen aanvallers diep ingrijpen in de integriteit van de server, hoewel de code zelf doorgaans niet permanent in de fysieke firmware blijft hangen na een reguliere herstart. Een enkele succesvolle injectie is echter vaak al genoeg om hardnekkige achterdeurtjes in het besturingssysteem te installeren.

Vooral datacenters en grote organisaties die intensief gebruikmaken van netwerkboots (PXE-booting) om servers op grote schaal te beheren of te herinstalleren, lopen een verhoogd risico. Systemen die uitsluitend lokaal vanaf harde schijven of SSD's opstarten, zijn voor dit specifieke lek minder vatbaar.

Maatregelen en oplossingen

Hoewel er inmiddels fundamentele code-aanpassingen zijn doorgevoerd in de hoofdarchitectuur van TianoCore om de geheugenvalidatie te herstellen, moeten individuele hardware- en serverleveranciers deze patches nog verwerken in hun eigen officiële firmware-updates.

Omdat het uitbrengen en testen van dergelijke ingrijpende BIOS/UEFI-updates tijd kost, adviseren beveiligingsspecialisten beheerders om alert te zijn. Als tijdelijke mitigerende maatregel wordt aangeraden om netwerkbootopties (PXE) op kwetsbare servers uit te schakelen zolang deze niet direct nodig zijn, en alert te zijn op afwijkend netwerkverkeer tijdens het opstarten.