Se han descubierto múltiples fallos de seguridad en la pila de protocolos de red TCP/IP del kit de desarrollo de referencia de implementación de interfaz de firmware extensible unificado (UEFI) de código abierto. Las vulnerabilidades de seguridad, nombradas colectivamente como PixieFail por Quarkslab, afectan al TianoCore EFI Development Kit II (EDKII) y podrían ser explotadas para realizar una ejecución remota de código, denegación de servicios (DoS), envenenamiento de caché de DNS y fuga de información confidencial. El firmware UEFI de AMI, Intel, Insyde y Phoenix Technologies se ve afectado por estas vulnerabilidades.
Las vulnerabilidades son parte del EDKII que incorpora su propia pila TCP/IP llamada NetworkPkg para permitir las funcionalidades de red disponibles durante el entorno de ejecución previo al arranque (PXE), permitiendo ejecutar tareas de administración en ausencia de un sistema operativo en funcionamiento. La falla podría ser explotada para configurar y arrancar remotamente computadoras conectadas en red que aún no están cargadas con un sistema operativo por parte de un administrador.
Las fallas identificadas dentro de la NetworkPkg del EDKII por Quarkslab abarcan fallos de desbordamiento, lectura fuera de límites, bucles infinitos y el uso de un generador de números pseudoaleatorios (PRNG) débil que resulta en ataques de envenenamiento de DNS y DHCP, fuga de información, denegación de servicio y ataques de inserción de datos en la capa IPv4 e IPv6. Estas fallas han sido identificadas con los CVE-2023-45229, CVE-2023-45230, CVE-2023-45231, CVE-2023-45232, CVE-2023-45233, CVE-2023-45234, CVE-2023-45235, CVE-2023-45236 y CVE-2023-45237.
Según un aviso del Centro de Coordinación CERT (CERT/CC), el impacto y la explotabilidad de estas vulnerabilidades dependen de la compilación y configuración de inicio de PXE predeterminado específicas del firmware. Un atacante dentro de la red local (y, en ciertos escenarios, de manera remota) podría aprovechar estas debilidades para ejecutar código remoto, iniciar ataques DoS, llevar a cabo envenenamiento de caché de DNS o extraer información confidencial.
Es importante tener en cuenta que estas vulnerabilidades afectan a la seguridad de una amplia variedad de equipos informáticos que usan las opciones de PXE de UEFI. Algunas de las opciones más afectadas son aquellas relacionadas con DHCPv6 y las opciones de servidores DNS. Los usuarios deben actualizar su firmware UEFI lo antes posible para solucionar estas vulnerabilidades y evitar posibles problemas de seguridad.
