Uma vulnerabilidade de execução de código com gravidade 9.5 em 10 foi descoberta no TianoCore EDK II, um projeto de código aberto que serve de base para o firmware UEFI de praticamente todos os fornecedores de hardware e provedores de nuvem. A falha, rastreada como CVE-2026-97631, reside em um componente ICMP e permite que atacantes executem código malicioso no início do processo de inicialização, antes que defesas como o Secure Boot possam ser ativadas.
O EDK2 é considerado a solução de referência para as especificações UEFI, sendo extensivamente utilizado por empresas como AMI, Insyde e Phoenix. Até mesmo o Project Mu, um fork do EDK2 mantido pela Microsoft, continha o componente vulnerável. A capacidade de executar código antes do sistema operacional e das proteções de firmware — que estabelecem a cadeia de confiança, como o Trusted Platform Module (TPM) — abre uma brecha significativa para a instalação de cargas maliciosas posteriores.
Ameaça Precoce à Cadeia de Confiança
A vulnerabilidade CVE-2026-97631 explora uma falha de corrupção de memória dentro de um componente ICMP. Essa falha permite que um invasor, com acesso físico ou de rede apropriado, injete e execute código executável durante a fase de pré-inicialização do sistema. O momento da exploração é crucial: ocorre antes que o sistema operacional carregue e, consequentemente, antes que mecanismos de segurança como o Secure Boot — projetado para garantir que apenas software confiável seja carregado — entrem em operação. Isso significa que qualquer código executado através desta falha não é sujeito às verificações de integridade padrão, abrindo um caminho para a manipulação profunda do ambiente de inicialização.
Impacto e Mecanismos de Exploração
Embora as cargas maliciosas entregues diretamente pela CVE-2026-97631 não possuam persistência — ou seja, são executadas apenas uma vez por inicialização —, elas podem servir como um ponto de partida para a instalação de outros payloads maliciosos. Estes payloads subsequentes podem ser projetados para serem executados repetidamente no início do processo de boot, garantindo um controle contínuo e profundo sobre o sistema. A natureza da falha em corrupção de memória sugere que, com engenharia reversa e exploração adequada, um atacante poderia obter privilégios elevados, manipular configurações de firmware ou até mesmo desabilitar futuras defesas de segurança antes mesmo que o sistema operacional seja carregado.
A Vulnerabilidade no Ecossistema de Firmware
O EDK2 é um projeto de código aberto fundamental para a indústria de hardware, fornecendo uma base robusta para a implementação do Unified Extensible Firmware Interface (UEFI). Sua adoção generalizada por fabricantes de servidores e provedores de nuvem, incluindo o uso do código em projetos como o Microsoft Project Mu, demonstra sua importância estratégica. No entanto, a ampla dependência de um único projeto de código aberto também concentra o risco. Uma falha em sua base de código pode ter um alcance global, afetando uma vasta gama de dispositivos e infraestruturas críticas. A natureza do firmware, que opera em um nível de privilégio mais alto que o sistema operacional, torna vulnerabilidades como esta particularmente perigosas, pois comprometem a própria fundação da segurança do sistema.
Perguntas em Aberto e o Caminho Adiante
A gravidade da vulnerabilidade CVE-2026-97631 levanta questões importantes sobre a segurança do ecossistema de firmware e a eficácia dos processos de auditoria e correção de código aberto. A natureza do ataque, que contorna defesas de inicialização estabelecidas, exige uma revisão urgente das práticas de segurança em todo o ciclo de vida do desenvolvimento de firmware. A questão central é como garantir a segurança de um componente tão fundamental, que é a base para a confiança em toda a cadeia de suprimentos de software e hardware. A rápida resposta dos fornecedores em emitir patches será crucial para mitigar os riscos, mas a natureza complexa da atualização de firmware em larga escala apresenta seus próprios desafios.
A descoberta desta falha em um componente tão amplamente utilizado ressalta a contínua batalha pela segurança cibernética em níveis cada vez mais profundos da infraestrutura tecnológica. A capacidade de um atacante explorar o firmware antes mesmo da carga do sistema operacional representa um desafio significativo para a integridade e a confidencialidade dos dados em data centers globais. A comunidade de segurança agora aguarda a implementação de correções e a avaliação do impacto real desta vulnerabilidade no mundo.
Com reportagem de Brazil Valley
Source · Ars Technica
