Headless-QEMU/OVMF-Harness, das einen PXE-Boot ausführt und übergroße ICMP-Fehler auslöst, um den Pufferüberlauf in EDK II PxeBcSupport (CVE-2026-97631) in einem lokalen Labor zu reproduzieren.
⚠️ NUR LOKALES LABOR. Diese Tools steuern eine lokale QEMU-VM gegen eine Firmware, die Sie kontrollieren. Richten Sie den ICMP-Generator niemals auf Hardware oder Netzwerke, die Ihnen nicht gehören.
CVE-2026-97631: ein 16 Jahre alter Pufferüberlauf in TianoCore EDK II
(NetworkPkg/UefiPxeBcDxe/PxeBcSupport.c) — eine übergroße ICMP-Fehlermeldung
während eines PXE-Netzwerkboots kopiert über die 504-Byte-Struktur EFI_PXE_BASE_CODE_ICMP_ERROR
hinaus und beschädigt den Firmware-Speicher in Ring 0, bevor Secure Boot und TPM geladen werden.
Behoben durch PR #13200 /
#13302; Berichterstattung zur Offenlegung:
Ars Technica.
Drei kleine, ausschließlich auf die Standardbibliothek gestützte Komponenten, die eine headless OVMF/QEMU-VM vom Kaltstart bis zu einem PXE-Boot-Versuch bringen — mit einem DHCP-Server und dem ICMP-Angriff auf der Leitung:
| Datei | Rolle |
|---|---|
bridge.py | minimaler DHCP-Server auf der QEMU-Leitung (DISCOVER→OFFER→REQUEST→ACK, Warten auf TFTP-RRQ), danach löst er den Angriff aus: 6× ICMP-Typ-3-Code-1-Fehler, die ein 1200-Byte-Fake-Datagramm zitieren, in die 504-Byte-Struktur. --attack an/aus. |
router.py | Router für den Bildschirmzustand: klassifiziert den Bildschirm von OVMF anhand der Pixelstatistik von screendump (schwarz = UEFI Shell, blau = Startseite / Boot Manager) und steuert die Oberfläche über den QEMU-Monitor (sendkey), bis die PXE-Boot-Option ausgeführt wird. |
drive.py | früherer schrittweiser Tastaturtreiber mit PPM-Erkennung der Hervorhebungsleiste (als Referenz beibehalten). |
Aufrufschema:
# VM: OVMF pflash, virtio-net auf einem UDP-Socket-Netdev (keine mcast-Flakiness),
# pcap-Wire-Tap + CPU-Reset-Logging:
qemu-system-x86_64 -machine q35 -m 512 -display none \
-drive if=pflash,format=raw,readonly=on,file=$FW-code.fd \
-drive if=pflash,format=raw,file=$FW-vars.fd \
-netdev socket,id=n0,udp=127.0.0.1:5555,localaddr=127.0.0.1:6666 \
-device virtio-net-pci,netdev=n0,bootindex=0 \
-object filter-dump,id=f1,netdev=n0,file=dump.pcap \
-monitor unix:qmon.sock,server,nowait -serial none -d cpu_reset -D resets.log &
python3 bridge.py --attack & # DHCP + ICMP overflow trigger
python3 router.py qmon.sock run.log # navigate headlessly to UEFI PXE IPv4
tcpdump -r dump.pcpa # wire truth
grep -c "CPU Reset" resets.log # crash signal (baseline: 2 on clean boot)
Alles bis zum PXE-Boot-Versuch funktioniert reproduzierbar (Routing nach Bildschirmzustand, Wire-Tap, DHCP-/Angriffs-Engine scharfgeschaltet). Bei den von uns getesteten, mit QEMU gebündelten OVMF-Builds (IA32 und X64, q35 und i440fx, TCG) zeigt die Firmware das PXE-Banner an und sendet dann null Pakete — das DHCP Discover verlässt die Firmware nie, sodass der ICMP-Trigger den verwundbaren Handler nie erreicht. Um weiterzukommen, braucht es einen OVMF-Build mit serieller Debug-Ausgabe oder echte Laborhardware. Das Harness wird bewusst genau bis zu dieser Grenze veröffentlicht: Reproduzierbarkeitsaussagen müssen dort enden, wo der Lauf geendet hat.
MIT. Von @slabbdev — Begleitmaterial zum Blog-Beitrag.