UEFI 펌웨어 버퍼 오버플로우 취약점, 전 세계 대부분 서버 위협

핵심 요약

• TianoCore EDK II 오픈소스의 ICMP 컴포넌트에서 메모리 손상 취약점(CVE-2026-97631, CVSS 9.5)이 발견되었다.
• AMI, Insyde, Phoenix 등 거의 모든 UEFI 공급업체와 마이크로소프트의 Project Mu가 이 코드를 사용하고 있다.
• Anthropic의 Alex Matrosov와 Google의 Dan Holmes가 발견했으며 1월 공개 예정이었지만, AMI가 지난달 깃허브에 패치와 함께 취약점을 공개했다.
• 패치 코드가 공개되면서 고급 해커들이 익스플로잇을 쉽게 만들 수 있게 되었다.
• PXE 부팅 드라이버의 16년된 버퍼 오버플로우로, 504바이트 제한을 초과하는 ICMP 오류 메시지가 인접 메모리를 덮어쓸 수 있다.
• 공격자가 네트워크 접근 권한을 가지고 있으면 부팅 시퀀스 중 ICMP 오류를 전송해 악성 코드를 ring 0 권한으로 실행할 수 있다.
• 부팅 초기에 Secure Boot과 TPM 같은 방어 메커니즘이 로드되기 전에 실행되므로 펌웨어 검증을 우회할 수 있다.
• 로컬 네트워크 접근이나 펌웨어 빌드 정보를 알아야 성공적인 익스플로잇이 가능하며, 대상별로 주소를 추측해야 한다.
• 네트워크 부팅을 하지 않거나 로컬 네트워크 부팅을 사용하지 않는 조직과 홈 사용자는 영향을 받지 않는다.
• Intel은 현재 보안 지원 중인 제품에 영향을 받지 않는다고 밝혔으나, 참고 코드와 OEM 제조사의 통합으로 인해 광범위한 영향이 예상된다.
• LogoFail, PixieFail, PKFail, BootHole, BlackLotus 등 UEFI 관련 심각한 취약점들이 최근 계속 발견되고 있다.
• 광범위한 분포로 인해 지원 종료 시스템에서는 영구적 취약점이 될 수 있으며, 대규모 패치는 시간이 오래 걸린다.
• 시스템 제조사에 EDK2 사용 여부를 확인하고 가능하면 네트워크 부팅을 비활성화하며 TPM과 Secure Boot을 항상 켜야 한다.