PXE 부팅 취약점 CVSS 9.5점…EDK2 일부 펌웨어 영향
제목 연관성·주요 수치·시장 영향·향후 전망을 기준으로 핵심 문장을 선별한 요약 브리핑입니다.
핵심 포인트
- TianoCore가 EDK2의 PXE 부팅 드라이버 취약점 CVE-2026-97631을 공개했다.
- 위험도는 CVSS 4.0 기준 9.5점이며, 영향은 펌웨어 구성과 PXE 부팅 사용 여부에 따라 달라진다.
- 네트워크 부팅을 사용하는 일부 장비의 UEFI 펌웨어에서 운영체제가 시작되기 전 코드 실행으로 이어질 수 있는 취약점이 공개됐다.
본문
TianoCore가 EDK2의 PXE 부팅 드라이버 취약점 CVE-2026-97631을 공개했다. 위험도는 CVSS 4.0 기준 9.5점이며, 영향은 펌웨어 구성과 PXE 부팅 사용 여부에 따라 달라진다. 네트워크 부팅을 사용하는 일부 장비의 UEFI 펌웨어에서 운영체제가 시작되기 전 코드 실행으로 이어질 수 있는 취약점이 공개됐다. TianoCore는 10월 22일 EDK2의 PXE 부팅 드라이버에서 발견된 취약점 CVE-2026-97631을 공개했다. UEFI는 운영체제를 불러오기 전에 장비를 초기화하는 펌웨어 체계이며, PXE는 네트워크에서 부팅 파일을 받아 장비를 시작하는 방식이다. 결함은 EDK2의 NetworkPkg에 포함된 PXE Base Code 드라이버가 ICMP 오류 메시지를 처리하는 과정에서 발생한다.
권고문은 드라이버가 메시지를 고정된 504바이트 영역에 복사하면서 길이를 잘못 검사해 초과 데이터가 인접 메모리에 기록될 수 있다고 설명했다.
공격자는 대상 장비가 PXE 네트워크 부팅 중일 때 해당 장비의 IP 주소로 ICMP 오류 메시지를 보내야 한다. TianoCore는 공격자가 대상 펌웨어 빌드 정보를 알고 있으면 부팅 과정의 DXE 단계에서 임의 코드 실행을 시도할 수 있다고 설명했다. EDK2의 취약한 구성 요소가 포함돼 있고 PXE 부팅 기능을 사용하는 장비가 영향 대상이다. 개별 제품의 적용 여부와 업데이트 일정은 제조사별 펌웨어 구성을 확인해야 한다. AMD, AMI, 피닉스 테크놀로지, 마이크로소프트, 아마존의 답변과 제조사별 영향 목록은 취약점 공개 당시 확인되지 않았다.