Un errore nella gestione dell'embargo ha reso pubblica in anticipo la patch per una vulnerabilità critica nel firmware UEFI. Si tratta del bug CVE-2026-97631, che riguarda il driver PXE Base Code di EDK II e ha ricevuto un punteggio di severità di 9,5. La correzione, inizialmente destinata a una divulgazione coordinata, è ora visibile nel ramo master del progetto, permettendo a chiunque di analizzarla prima del previsto.
Il difetto: scrittura oltre il buffer
Il problema nasce quando il driver riceve un messaggio ICMP di errore troppo lungo. In questa situazione, il codice scrive oltre un campo di dimensione fissa pari a 504 byte, causando un overflow. Secondo gli esperti, la vulnerabilità può essere sfruttata per arrivare all'esecuzione di codice in fase DXE, lo stadio di avvio in cui vengono caricati i driver UEFI. Un attaccante con accesso locale o in grado di inviare pacchetti ICMP malevoli potrebbe compromettere la sicurezza del sistema prima ancora che il sistema operativo sia avviato.
Impatto e raccomandazioni
La falla mette a rischio l'intera catena di avvio dei sistemi che utilizzano EDK II, una base di codice ampiamente diffusa nei firmware UEFI di molti produttori. La patch è già disponibile nel ramo master, ma la pubblicazione anticipata riduce la finestra di protezione per gli utenti. Gli sviluppatori sono invitati ad applicare la correzione il prima possibile e a monitorare eventuali aggiornamenti dai vendor. L'episodio riaccende il dibattito sulla gestione degli embarghi nelle vulnerabilità critiche, dove un singolo errore può esporre milioni di dispositivi.
