uefi-pxe-cve-2026-97631 — EDK II PXE ICMP 오버플로를 위한 헤드리스 하네스

⚠️ 로컬 랩 전용. 이 도구들은 직접 제어하는 펌웨어를 대상으로 로컬 QEMU VM을 구동합니다. 소유하지 않은 하드웨어나 네트워크에 ICMP 생성기를 절대 겨냥하지 마십시오.

CVE-2026-97631: TianoCore EDK II(NetworkPkg/UefiPxeBcDxe/PxeBcSupport.c)에 16년간 존재해 온 버퍼 오버플로 — PXE 네트워크 부팅 중 크기가 초과된 ICMP 오류 메시지가 504바이트 EFI_PXE_BASE_CODE_ICMP_ERROR 구조체를 넘어 복사되어, Secure Boot와 TPM이 로드되기 전에 ring 0의 펌웨어 메모리를 손상시킵니다. PR #13200 / #13302에서 수정되었습니다. 공개 보도: Ars Technica.

이 하네스가 하는 일

헤드리스 OVMF/QEMU VM을 콜드 부팅에서 PXE 부팅 시도까지 이끄는, 표준 라이브러리만 사용하는 세 개의 작은 구성 요소 — DHCP 서버와 ICMP 공격이 네트워크 상에서 이루어집니다:

파일	역할
bridge.py	QEMU 네트워크 상의 최소 DHCP 서버(DISCOVER→OFFER→REQUEST→ACK, TFTP RRQ 대기)로, 이후 공격을 발사합니다: 1200바이트짜리 가짜 데이터그램을 인용하는 ICMP type-3 code-1 오류 6회를 504바이트 구조체에 전송합니다. --attack on/off.
router.py	화면 상태 라우터: screendump 픽셀 통계로 OVMF의 화면을 분류하고(검정 = UEFI Shell, 파랑 = 프런트 페이지 / Boot Manager) PXE 부팅 옵션이 실행될 때까지 QEMU 모니터(sendkey)를 통해 UI를 조작합니다.
drive.py	PPM 하이라이트 바 감지를 사용하는 초기 단계별 키보드 드라이버(참고용으로 유지).

실행 형태:

# VM: OVMF pflash, virtio-net on a UDP socket netdev (no mcast flakiness),
# pcap wire tap + CPU-reset logging:
qemu-system-x86_64 -machine q35 -m 512 -display none \
  -drive if=pflash,format=raw,readonly=on,file=$FW-code.fd \
  -drive if=pflash,format=raw,file=$FW-vars.fd \
  -netdev socket,id=n0,udp=127.0.0.1:5555,localaddr=127.0.0.1:6666 \
  -device virtio-net-pci,netdev=n0,bootindex=0 \
  -object filter-dump,id=f1,netdev=n0,file=dump.pcap \
  -monitor unix:qmon.sock,server,nowait -serial none -d cpu_reset -D resets.log &

python3 bridge.py --attack &        # DHCP + ICMP overflow trigger
python3 router.py qmon.sock run.log # navigate headlessly to UEFI PXE IPv4
tcpdump -r dump.pcpa               # wire truth
grep -c "CPU Reset" resets.log      # crash signal (baseline: 2 on clean boot)

상태 — 솔직하게 문서화함

PXE 부팅 시도까지의 모든 과정은 재현 가능하게 작동합니다(화면 상태 라우팅, 네트워크 탭, DHCP/공격 엔진 무장). 우리가 테스트한 QEMU에 번들된 OVMF 빌드(IA32 및 X64, q35 및 i440fx, TCG)에서는 펌웨어가 PXE 배너를 표시한 뒤 패킷을 전혀 전송하지 않습니다 — DHCP Discover가 펌웨어를 떠나지 않으므로 ICMP 트리거가 취약한 핸들러에 도달하지 못합니다. 더 나아가려면 시리얼 디버그 OVMF 빌드나 실제 랩 하드웨어가 필요합니다. 이 하네스는 의도적으로 바로 이 경계까지만 공개되었습니다: 재현성 주장은 실행이 멈춘 지점에서 멈춰야 합니다.

라이선스

MIT. @slabbdev 작성 — 블로그 글의 동반 자료.