Zranitelnost v TianoCore EDK II zasahuje počítače během síťového startu PXE. Útočník může speciálně sestavenou zprávou poškodit paměť firmwaru, zastavit zavádění nebo za dalších podmínek spustit vlastní kód.

Na chybu CVE-2026-97631 upozornil 29. října Root.cz. Původní bezpečnostní bulletin projektu TianoCore byl zveřejněn 22. října a hodnotí problém skóre CVSS 4.0 ve výši 9,5. EDK II je otevřený základ firmwaru UEFI, který mohou výrobci začleňovat a upravovat pro konkrétní počítače a servery. Přítomnost zranitelné komponenty proto nelze určit jen podle značky zařízení nebo používaného operačního systému.

Chyba leží v ovladači PXE Base Code v části NetworkPkg. Během síťového startu přes IPv4 nebo IPv6 přijímá chybové zprávy ICMP a kopíruje je do pole dlouhého 504 bajtů. Obsluha nesprávně kontroluje meze a posouvá cílový ukazatel podle kumulované délky fragmentů. Delší zpráva tak může zapisovat mimo vyhrazené místo v paměti firmwaru.

Okno pro útok trvá po dobu startu přes PXE. Podle původního bulletinu musí útočník doručit unicastovou chybovou zprávu ICMP na IP adresu cíle; požadavek není omezen na stejnou místní síť. Rozhoduje skutečná síťová dosažitelnost zařízení v této fázi. Bezpečnostní pravidla zavedená až v operačním systému se ještě neuplatňují.

Výsledkem může být poškození interních dat ovladače a následné zamrznutí startu, což znemožní síťovou instalaci nebo obnovu systému. Útočník se znalostí konkrétního sestavení firmwaru může podle výzkumníků připravit i podvrženou událost, která přesměruje vykonávání na jím dodaná data. Děje se to ve fázi DXE, ještě před ověřením nebo měřením komponent operačního systému prostřednictvím Secure Boot či measured boot. Samotné zapnutí těchto funkcí proto tuto cestu útoku neřeší.