📰 潜伏约 16 年的 UEFI 高危漏洞 CVE-2026-97631 曝光：CVSS 评分 9.5，影响多家固件供应商

IT之家 10 月 29 日消息，一项潜伏约 16 年的 UEFI 固件漏洞获曝光，编号为 CVE-2026-97631，CVSS 4.0 评分达到 9.5 分（满分 10 分）。

该漏洞存在于开源 UEFI 参考实现 TianoCore EDK II 的 PXE 网络启动驱动中，攻击者可在特定条件下于操作系统启动前执行恶意代码，影响使用相关组件的服务器及其他设备。

根据 TianoCore 于当地时间 10 月 22 日发布的安全公告，该漏洞源于 EDK II 的 PXE Base Code 驱动（NetworkPkg / UefiPxeBcDxe）在处理 ICMP 错误报文时存在缓冲区越界写入问题。相关代码将接收到的数据复制到一个固定大小为 504 字节的缓冲区中，但未能正确限制复制长度，攻击者可利用超长报文覆盖相邻内存区域。

查看原文 → ^↗