Durante 16 años una vulnerabilidad en UEFI pasó desapercibida; ahora basta un solo paquete de red para comprometer un servidor antes del arranque del sistema operativo.
No se necesita contraseña para tomar el control, pero el atacante tendrá que elegir el momento oportuno.
Es posible atacar servidores antes del arranque del sistema operativo enviando un paquete de red especialmente preparado. Investigadores han descubierto una vulnerabilidad crítica en el firmware UEFI que permite tomar el control del equipo antes de que actúen los mecanismos de protección habituales.
El problema recibió el identificador CVE-2026-97631 y una puntuación de 9,5 sobre 10 según la escala CVSS 4.0. La vulnerabilidad afecta a TianoCore EDK II, un conjunto abierto de componentes sobre el que los fabricantes crean firmware UEFI. El código EDK II es utilizado por grandes proveedores, entre ellos AMI, Insyde y Phoenix, así como por la plataforma Project Mu de Microsoft.
El error permaneció oculto durante unos 16 años en el controlador UefiPxeBcDxe, responsable del arranque por red PXE. Este método permite al servidor obtener archivos de arranque a través de la red en lugar del almacenamiento local. Durante el arranque el controlador recibe mensajes de error ICMP, que ayudan a los dispositivos de red a informar de problemas en la transmisión de paquetes.
Los desarrolladores reservaron para los mensajes ICMP un búfer de 504 bytes, pero limitaron incorrectamente la cantidad de información copiada. Si se envía un mensaje de mayor tamaño, los datos excedentes se escribirán en áreas de memoria adyacentes. El desbordamiento afecta a los manejadores de IPv4 e IPv6 y permite al atacante corromper estructuras internas del firmware.
Las consecuencias dependen de la preparación del ataque. El escenario más sencillo permite interrumpir el arranque del servidor provocando un fallo. Si el atacante conoce la compilación concreta del firmware y la ubicación de las estructuras en memoria, surge la posibilidad de ejecutar código arbitrario en la etapa DXE con los máximos privilegios del procesador. Ese código se ejecuta antes que el sistema operativo y sus mecanismos de protección.
Resulta especialmente peligroso poder interferir en la cadena de arranque antes de las comprobaciones de Secure Boot. El código malicioso podría potencialmente sustituir componentes cargados o preparar una infección más persistente. Anteriormente los investigadores ya demostraron amenazas similares en ataques LogoFAIL contra firmware UEFI.
No se requieren credenciales para el ataque. Un mensaje ICMP especial puede enviarse incluso desde una red remota si el paquete alcanza la dirección IP objetivo. Sin embargo, el servidor debe estar realizando un arranque PXE en el momento del ataque. Los equipos que arrancan exclusivamente desde el disco local no son vulnerables al método descrito.
El descubrimiento de la vulnerabilidad corresponde a Alex Matrosov, de Anthropic, y a Dan Holmes-Mitra, de Google. La divulgación pública se había planificado inicialmente para enero de 2027, pero un empleado de AMI publicó prematuramente la corrección en un repositorio público. Los desarrolladores se vieron obligados a publicar el aviso el 22 de octubre, antes de la fecha acordada.
Al momento de la publicación del aviso no había una versión corregida lista de EDK II, aunque los desarrolladores habían preparado cambios en el código. Se recomienda a los propietarios de servidores consultar el estado del firmware con el fabricante y desactivar temporalmente el arranque PXE innecesario. Información adicional sobre la protección contra este tipo de amenazas puede encontrarse en el artículo sobre malware UEFI.