uefi-pxe-cve-2026-97631 — EDK II PXE ICMP ओवरफ़्लो के लिए हेडलेस हार्नेस

⚠️ केवल स्थानीय लैब। ये टूल एक स्थानीय QEMU VM को उस फ़र्मवेयर के विरुद्ध चलाते हैं जिसे आप नियंत्रित करते हैं। ICMP जनरेटर को कभी भी ऐसे हार्डवेयर या नेटवर्क की ओर न इंगित करें जो आपके स्वामित्व में न हों।

CVE-2026-97631: TianoCore EDK II (NetworkPkg/UefiPxeBcDxe/PxeBcSupport.c) में 16 साल पुराना बफ़र ओवरफ़्लो — PXE नेटवर्क बूट के दौरान एक अत्यधिक बड़ा ICMP त्रुटि संदेश 504-बाइट EFI_PXE_BASE_CODE_ICMP_ERROR स्ट्रक्चर से आगे कॉपी हो जाता है, जिससे Secure Boot और TPM लोड होने से पहले रिंग 0 में फ़र्मवेयर मेमोरी दूषित हो जाती है। इसे PR #13200 / #13302 द्वारा ठीक किया गया; प्रकटीकरण कवरेज: Ars Technica।

यह हार्नेस क्या करता है

तीन छोटे केवल-stdlib वाले हिस्से जो एक हेडलेस OVMF/QEMU VM को कोल्ड बूट से PXE बूट प्रयास तक ले जाते हैं — साथ में एक DHCP सर्वर और वायर पर ICMP हमला:

फ़ाइल	भूमिका
bridge.py	QEMU वायर पर न्यूनतम DHCP सर्वर (DISCOVER→OFFER→REQUEST→ACK, TFTP RRQ प्रतीक्षा), फिर हमला चलाता है: 6× ICMP type-3 code-1 त्रुटियाँ जो 1200-बाइट नकली डेटाग्राम को 504-बाइट स्ट्रक्चर में उद्धृत करती हैं। --attack चालू/बंद।
router.py	स्क्रीन-स्टेट राउटर: screendump पिक्सेल आँकड़ों से OVMF की स्क्रीन को वर्गीकृत करता है (काला = UEFI Shell, नीला = फ़्रंट पेज / Boot Manager) और PXE बूट विकल्प चलने तक QEMU मॉनिटर (sendkey) के माध्यम से UI को संचालित करता है।
drive.py	PPM हाइलाइट-बार डिटेक्शन के साथ पहले का चरण-दर-चरण कीबोर्ड ड्राइवर (संदर्भ के लिए रखा गया)।

चलाने का स्वरूप:

# VM: OVMF pflash, virtio-net on a UDP socket netdev (no mcast flakiness),
# pcap wire tap + CPU-reset logging:
qemu-system-x86_64 -machine q35 -m 512 -display none \
  -drive if=pflash,format=raw,readonly=on,file=$FW-code.fd \
  -drive if=pflash,format=raw,file=$FW-vars.fd \
  -netdev socket,id=n0,udp=127.0.0.1:5555,localaddr=127.0.0.1:6666 \
  -device virtio-net-pci,netdev=n0,bootindex=0 \
  -object filter-dump,id=f1,netdev=n0,file=dump.pcap \
  -monitor unix:qmon.sock,server,nowait -serial none -d cpu_reset -D resets.log &

python3 bridge.py --attack &        # DHCP + ICMP overflow trigger
python3 router.py qmon.sock run.log # navigate headlessly to UEFI PXE IPv4
tcpdump -r dump.pcpa               # wire truth
grep -c "CPU Reset" resets.log      # crash signal (baseline: 2 on clean boot)

स्थिति — ईमानदारी से प्रलेखित

PXE बूट प्रयास तक सब कुछ पुनरुत्पादनीय रूप से काम करता है (स्क्रीन-स्टेट राउटिंग, वायर टैप, DHCP/हमला इंजन सशस्त्र)। हमारे द्वारा परीक्षण किए गए QEMU-बंडल्ड OVMF बिल्ड्स (IA32 और X64, q35 और i440fx, TCG) पर, फ़र्मवेयर PXE बैनर प्रदर्शित करता है और फिर शून्य पैकेट प्रसारित करता है — DHCP Discover कभी फ़र्मवेयर से बाहर नहीं जाता, इसलिए ICMP ट्रिगर कभी कमज़ोर हैंडलर तक नहीं पहुँचता। आगे बढ़ने के लिए सीरियल-डीबग OVMF बिल्ड या वास्तविक लैब हार्डवेयर की आवश्यकता है। हार्नेस को जानबूझकर इसी सीमा तक प्रकाशित किया गया है: पुनरुत्पादनीयता के दावे वहीं रुकने चाहिए जहाँ रन रुका था।

लाइसेंस

MIT। @slabbdev द्वारा — ब्लॉग राइट-अप का सहयोगी।