Lỗ hổng nghiêm trọng CVE-2026-97631 trong UEFI Firmware đe dọa hàng triệu máy chủ

• Lỗ hổng nghiêm trọng: CVE-2026-97631 với điểm CVSS v4 là 9.5, ảnh hưởng đến firmware EDK II.
• Cơ chế tấn công: Kẻ tấn công có thể thực thi mã từ xa (RCE) ở cấp độ firmware thông qua các gói tin ICMP độc hại trong quá trình khởi động mạng (PXE).
• Phạm vi ảnh hưởng: Hàng triệu máy chủ, máy tính để bàn và laptop sử dụng firmware UEFI dựa trên EDK II.
• Trạng thái: Bản vá đã được hợp nhất vào mã nguồn công khai (Pull Request 13302), các nhà sản xuất thiết bị cần sớm cập nhật firmware cho người dùng.

Các nhà nghiên cứu bảo mật vừa công bố chi tiết về một lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-97631, tồn tại trong firmware mã nguồn mở EDK II. Lỗ hổng này cho phép kẻ tấn công từ xa thực thi mã tùy ý trên máy mục tiêu ngay cả trước khi hệ điều hành được nạp, thông qua việc khai thác giao thức khởi động mạng (PXE). Với điểm số CVSS v4 là 9.5, đây là một mối đe dọa đặc biệt nguy hiểm đối với các trung tâm dữ liệu và môi trường doanh nghiệp.

Phân tích kỹ thuật lỗ hổng CVE-2026-97631

Lỗ hổng nằm trong driver UefiPxeBcDxe thuộc gói NetworkPkg của EDK II. Trong quá trình khởi động PXE, driver này có nhiệm vụ lắng nghe các thông báo lỗi ICMP từ mạng. Tuy nhiên, cơ chế xử lý dữ liệu đầu vào của nó tồn tại lỗi tràn bộ đệm nghiêm trọng.

• Cơ chế lỗi: Driver sao chép các thông báo ICMP vào một vùng đệm cố định có kích thước 504 byte. Tuy nhiên, mã nguồn thực hiện kiểm tra kích thước dữ liệu không đầy đủ cho cả IPv4 và IPv6.
• Hành vi khai thác: Nếu thông báo ICMP vượt quá 504 byte, driver vẫn tiếp tục sao chép dữ liệu và di chuyển vị trí ghi dựa trên tổng chiều dài thay vì chiều dài của từng đoạn dữ liệu, dẫn đến việc ghi đè lên các vùng nhớ quan trọng ngoài phạm vi cho phép.
• Điều kiện kích hoạt: Kẻ tấn công không cần quyền truy cập hệ thống hay tương tác từ người dùng. Chỉ cần gửi một gói tin ICMP lỗi được chế tạo đặc biệt đến địa chỉ IP của máy khách trong khi máy đang thực hiện quá trình PXE boot.

Việc khai thác thành công có thể dẫn đến hai kịch bản: gây treo hệ thống (DoS) hoặc thực thi mã tùy ý với đặc quyền cao nhất (System Management Mode hoặc tương đương) trước khi các cơ chế bảo mật như Secure Boot hoặc Measured Boot kịp khởi tạo.

Các tiền lệ về lỗ hổng Firmware UEFI

Lỗ hổng này không phải là trường hợp cá biệt. Trong những năm gần đây, an ninh firmware đã trở thành mục tiêu hàng đầu của các nhóm tấn công tinh vi. Các sự cố trước đó như PKfail, LogoFAIL và PixieFail đã chứng minh rằng việc tấn công vào giai đoạn khởi động (Pre-boot) mang lại khả năng duy trì sự hiện diện lâu dài và né tránh các giải pháp bảo mật truyền thống trên hệ điều hành.

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Trong khi chờ đợi các nhà sản xuất thiết bị (OEM) phát hành bản cập nhật firmware chính thức, các quản trị viên hệ thống cần thực hiện ngay các biện pháp giảm thiểu rủi ro sau đây:

• Cách ly mạng: Hạn chế lưu lượng PXE boot trong các phân đoạn mạng nội bộ (provisioning network) được cô lập hoàn toàn.
• Cấu hình Firewall: Chặn các gói tin ICMP lỗi không mong muốn nhắm vào các máy chủ đang trong quá trình khởi động.
• Vô hiệu hóa PXE: Tắt tính năng PXE boot trên các hệ thống không yêu cầu triển khai mạng để giảm thiểu bề mặt tấn công.
• Tuân thủ hướng dẫn: Tham khảo các tài liệu hướng dẫn về Secure Boot từ CISA và NSA để tăng cường bảo mật cho hạ tầng phần cứng.

Bản vá cho lỗ hổng này đã được hợp nhất thông qua Pull Request 13302 vào ngày 15 tháng 10 năm 2026. Các quản trị viên nên liên hệ trực tiếp với nhà cung cấp phần cứng để theo dõi lộ trình cập nhật firmware chứa bản vá này.