Risiko beim Serverstart: Firmware-Patch setzt Hersteller unter Zugzwang

Ein Fehler in einer verbreiteten UEFI-Grundlage könnte Angriffe während des Netzwerkstarts ermöglichen. Eine vorzeitig veröffentlichte Reparatur macht die Schwachstelle bereits nachvollziehbar, während Updates für die eingesetzten Geräte noch von den Herstellern abhängen.

Eine verfügbare Codekorrektur bedeutet für Serverbetreiber noch lange kein abgesichertes System. Das zeigt eine Sicherheitslücke im quelloffenen Firmware-Projekt EDK II: Zwar liegt bereits eine Änderung gegen den Fehler vor. Bevor Unternehmen sie auf ihren Geräten installieren können, müssen die Hardwareanbieter daraus jedoch passende Firmware-Updates erstellen und verteilen.

Entdecke die Welt von Apple: leistungsstarke Technik für Kreative, Unternehmer und den digitalen Alltag. Ob MacBook Pro, iPad oder Zubehör: Apple-Produkte stehen seit Jahren für hochwertige Verarbeitung, starke Performance und ein durchdachtes Ökosystem. Hochwertige Apple-Geräte rund um MacBook Pro, iPad und weiteres Apple-Zubehör findest du bei Amazon*.

Inhaltsverzeichnis

Verwundbar während des Starts aus dem Netzwerk

Nach einem Bericht von Ars Technica betrifft die Schwachstelle einen Programmteil, der seit etwa 16 Jahren in der Codebasis steckt. EDK II wird von Tianocore entwickelt und dient zahlreichen Anbietern als Grundlage für ihre UEFI-Firmware. Diese übernimmt beim Einschalten eines Rechners die ersten Schritte bis zum Laden des Betriebssystems.

Die unter CVE-2026-97631 geführte Lücke erhält dem Bericht zufolge einen CVSS-Wert von 9,5. Wie viele tatsächlich angreifbare Geräte im Einsatz sind, lässt sich aus der weiten Verbreitung der Software allerdings nicht ableiten. Dafür ist entscheidend, wie ein System gestartet wird.

Der beschriebene Angriffsweg führt über PXE. Mit diesem Verfahren können Rechner ihre Startumgebung aus dem Netzwerk beziehen. Unternehmen nutzen es beispielsweise, um Server zentral aufzusetzen.

Während eines solchen Vorgangs soll eine präparierte ICMP-Fehlermeldung einen Speicherfehler auslösen können. Laut Fehlerbeschreibung sind Schreibzugriffe über die Grenze eines 504 Byte großen Puffers hinaus möglich. Im Erfolgsfall könnte dadurch fremder Programmcode ausgeführt werden, bevor das Betriebssystem geladen ist.

Eine Anmeldung am Zielserver benötigt der Angreifer demnach nicht. Er muss allerdings Zugang zum lokalen Netzwerk haben und die IP-Adresse des Geräts kennen. Der Fehler soll sowohl bei IPv4 als auch bei IPv6 erreichbar sein. Ein beliebiger Angriff aus dem Internet ist damit durch die vorliegenden Angaben nicht beschrieben.

Vertrauliche Vorbereitung durchkreuzt

Eigentlich sollte den Herstellern mehr Zeit bleiben. Zwei Forscher von Anthropic und Google hatten die Schwachstelle laut Bericht entdeckt; ihre Veröffentlichung war erst für Januar 2027 vorgesehen.

Dieser Zeitplan scheiterte offenbar an einem öffentlich angelegten Pull-Request auf GitHub. Ein beteiligter Hersteller soll dort versehentlich sowohl die Reparatur als auch ergänzende Informationen zugänglich gemacht haben. Tianocore zog die Offenlegung daraufhin vor.

Der Vorgang verschärft den Zeitdruck: Öffentlich sichtbare Änderungen können Hinweise darauf liefern, wie sich ein Fehler auslösen lässt. Sie ersetzen zwar keinen fertigen Angriff, erleichtern aber möglicherweise dessen Entwicklung.

Breite Verbreitung, unterschiedliche Angriffshürden

Als Nutzer der betroffenen Codebasis nennt der Bericht unter anderem AMI, Insyde und Phoenix. Auch Microsofts EDK-II-Abspaltung Project Mu soll den fehlerhaften Bestandteil enthalten.

Ein universell einsetzbarer Exploit lässt sich daraus offenbar dennoch nicht ohne Weiteres entwickeln. Ein von Ars Technica zitierter Eclypsium-Forscher verweist auf Speicheradressen, die für einen erfolgreichen Angriff getroffen werden müssen. Diese unterscheiden sich je nach Gerätemodell, Firmware-Version und Konfiguration. Ein Angriff, der auf einem Server funktioniert, muss daher nicht auf einem anderen erfolgreich sein.

Diese Einschränkung senkt die Übertragbarkeit eines Exploits. Sie beseitigt jedoch nicht die zugrunde liegende Schwachstelle.

Bei älteren Geräten bleibt die Versorgung offen

Für Administratoren führt der nächste Schritt zum jeweiligen Gerätehersteller. Dieser muss klären, welche Modelle betroffen sind und wann aktualisierte Firmware bereitsteht. Besonders unsicher ist die Lage bei älteren Servern: Ist deren Support bereits beendet, könnte eine Korrektur ausbleiben.

Zunächst lohnt sich deshalb ein Blick auf die verwendete Startkonfiguration. Der geschilderte Fehler betrifft den PXE-Vorgang. Rechner, die ausschließlich von einem lokalen Laufwerk starten und den betroffenen Netzwerkcode dabei nicht ausführen, sind über diesen konkreten Weg nicht angreifbar.

About
Latest Posts

Sladjan Lazic

Sladjan ist Webdesigner, Frontend-Entwickler und WordPress-Experte mit dem Schwerpunkt Full Site Editing (FSE). Als Webenthusiast arbeitet er seit 2006 mit HTML und CSS und ab 2016 mit WordPress. Seit 2018 arbeitet er mit WooCommerce und erstellt kleine, minimalistische und responsive Websites sowie kleinere Online-Shops. Seit 2019 ist er Zertifizierter SEM-Manager & Webanalyst (Webmasters Akademie) und seit 2024 Geprüfter Webdesigner (OfG).