Falla in TianoCore EDK II mette a rischio il boot della maggior parte dei server
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Una vulnerabilità di corruzione di memoria in un componente ICMP di EDK II, tracciata come CVE-2026-97631, consente esecuzione di codice durante il boot prima di Secure Boot e TPM.
CVE-2026-97631, gravità 9,5, consente l’esecuzione di codice nel firmware UEFI usato per l’avvio di server e infrastrutture cloud. Il difetto è in TianoCore EDK II, base open source che molti produttori e data center adottano per costruire il firmware di boot1.
L’errore nasce da una corruzione di memoria in un componente ICMP del firmware. Un attaccante può sfruttarlo durante la fase di avvio, prima che parta il sistema operativo. Succede anche prima che il firmware applichi difese come Secure Boot. Secure Boot impone una catena di fiducia per il codice caricato all’avvio, incluso il Trusted Platform Module. Qui il codice malevolo può correre prima di quella catena1.
L’ampiezza dell’impatto dipende dal ruolo di EDK II nelle implementazioni UEFI. Un rappresentante dell’UEFI Forum lo definisce “la soluzione/implementazione preminente delle specifiche UEFI”. Quasi tutti i fornitori UEFI, spesso indicati come IBV, partono da quel codice di riferimento. Tra i nomi citati: AMI, Insyde, Phoenix. Anche Project Mu, il fork EDK2 con obiettivi di hardening mantenuto da Microsoft, aveva incluso il codice che contiene il componente vulnerabile1.
La sequenza tecnica è chiara. Il payload si esegue prima che le politiche di validazione entrino in gioco. In quella finestra le difese tipiche non filtrano l’esecuzione. La posizione, all’inizio del percorso di avvio, compromette l’integrità del boot se non mitigata1.
Il perimetro tocca più attori. I fornitori UEFI che adottano EDK II sono “virtualmente tutti”, secondo la formulazione riportata. I data center e i provider cloud che derivano il firmware da quel codice rientrano quindi nell’esposizione. La combinazione tra adozione estesa e possibilità di esecuzione pre-OS spiega il punteggio di gravità e il carico operativo per i team di difesa1.
Un aspetto pesa per chi gestisce piattaforme: i fork ereditano le debolezze a monte. Il coinvolgimento di Project Mu mostra come una modifica in upstream possa propagarsi a derivati che puntano al rafforzamento. La condivisione del componente ICMP vulnerabile ha allargato il raggio dell’errore a più immagini firmware prodotte da basi comuni1.
Cosa fare adesso. Identificate dove EDK II o Project Mu alimentano il firmware nell’infrastruttura. Verificate le comunicazioni dei fornitori UEFI e dei partner di piattaforma citati, oltre agli avvisi dell’UEFI Forum. Pianificate aggiornamenti del firmware non appena disponibili e preparate finestre di manutenzione adeguate per i sistemi critici. Per i dettagli tecnici e l’attribuzione della vulnerabilità, fate riferimento all’avviso originale1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,1/10 dopo 1 revisione.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.