Kurzfassung
Im UEFI Firmware Parser bestehen mit CVE-2026-54334 und CVE-2026-54333 zwei kritische Schwachstellen, behoben ab Version 1.14. Beide Einträge tragen einen CVSS-Basiswert von 9.8 und sind damit kritisch. Betroffen ist die Verarbeitung präparierter Tiano- oder EFI-komprimierter Firmware-Dateien, was zu Speicherbeschädigung, reproduzierbaren Abstürzen und je nach Build- und Laufzeitumgebung möglicherweise auch zu Codeausführung führen kann.
Was ist passiert?
Die Schwachstelle steckt in einem Parser für BIOS-, Intel-ME- und UEFI-Firmware-Strukturen. Konkret geht es um die Dekomprimierung bestimmter Firmware-Inhalte im Tiano-Format. In Fassungen vor 1.14 kann eine fehlerhafte Behandlung von Längenwerten dazu führen, dass ein Heap-Array über seine vorgesehene Größe hinaus beschrieben wird.
Neu hinzugekommen ist mit CVE-2026-54333 eine zweite, ebenfalls kritische Schwachstelle im selben Dekomprimierungsbereich. Dabei werden in MakeTable() Bitlängenwerte aus einem präparierten Tiano- oder EFI-komprimierten Firmware-Bitstream nicht ausreichend darauf geprüft, ob sie im erwarteten Bereich von 0 bis 16 liegen. Entlang des üblichen Parsing-Pfads kann das zu Schreibzugriffen über ein Stack-Array hinaus führen und damit Stack-Korruption auslösen.
Damit lässt sich der Parsing-Prozess gezielt zum Absturz bringen. Unter bestimmten Umständen ist auch die Ausführung von eingeschleustem Code denkbar. NVD führt die Lücken unter den Kennungen CVE-2026-54334 und CVE-2026-54333.
Technische Details
Auslöser von CVE-2026-54334 ist ein Fehler in ReadCLen() innerhalb von Decompress.c. Die Funktion liest einen Wert aus GetBits(Sd, CBIT) mit CBIT = 9 und kann dadurch bis zu 511 Einträge verarbeiten, obwohl das betroffene Heap-Array Sd->mCLen nur 510 Elemente vorsieht. Weil die Schleife den Index nicht ausreichend begrenzt, kommt es zu einem Out-of-Bounds-Schreibzugriff im Heap.
Der übliche Verarbeitungsweg führt hier von CompressedSection.process() über efi_compressor.TianoDecompress() und TianoDecompress() bis zu DecodeC() und schließlich ReadCLen(). Ein speziell präpariertes Tiano- oder EFI-komprimiertes Firmware-Objekt reicht daher aus, um die fehlerhafte Stelle zu erreichen.
Bei CVE-2026-54333 liegt der Fehler in MakeTable() in uefi_firmware/compression/Tiano/Decompress.c. Dort wird nicht ausreichend validiert, ob gelesene Bitlängenwerte innerhalb des erwarteten Bereichs von 0 bis 16 bleiben. Über den normalen Pfad von CompressedSection.process() zu efi_compressor.TianoDecompress(), weiter zu TianoDecompress(), ReadPTLen() und schließlich MakeTable() kann ein präparierter Bitstream dadurch über das stack-allozierte Array Count[17] sowie zugehörige Decode-Tabellen hinausschreiben. Das Ergebnis ist deterministische Stack-Korruption mit reproduzierbarem Absturz und je nach Build- und Laufzeitdetails potenziell auch Codeausführung.
Der CVSS-Basiswert beträgt für beide Lücken 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Das bedeutet technisch: Ein Angriff ist laut Bewertung über das Netzwerk möglich, mit geringer Komplexität, ohne Berechtigungen und ohne Nutzerinteraktion; der Wert beschreibt die technische Schwere, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn.
Wer ist betroffen?
Betroffen sind Installationen des UEFI Firmware Parser in Versionen vor 1.14. Relevant ist das vor allem für Unternehmen, die das Werkzeug oder darauf aufbauende Komponenten in internen Analyse-Pipelines, in Firmware-Prüfstrecken, bei der automatisierten Sicherheitsanalyse oder in Forschungsumgebungen einsetzen.
Für klassische Büroarbeitsplätze ist die Lücke in der Regel nicht direkt relevant. Kritischer ist sie für Build-Server, Analyse-Container, CI/CD-Umgebungen, Malware-Labore und alle Systeme, die untrusted Firmware-Dateien automatisiert verarbeiten. Wer Firmware-Images aus externen Quellen annimmt oder in Upload-Portalen analysieren lässt, sollte die Sache priorisieren.
Empfohlene Maßnahmen
Erstens: Aktualisieren Sie den UEFI Firmware Parser umgehend auf Version 1.14 oder neuer. Das ist die wichtigste Maßnahme, weil die Schwachstellen dort behoben sind.
Zweitens: Prüfen Sie, wo das Werkzeug direkt oder indirekt eingebunden ist. Gerade Python-basierte Analyse-Stacks, Container-Images und CI-Jobs enthalten solche Parser oft als Abhängigkeit, ohne dass das im Tagesbetrieb sichtbar ist.
Drittens: Behandeln Sie Firmware-Dateien aus externen Quellen bis zum Update als potenziell gefährlich. Lassen Sie deren Verarbeitung nur in isolierten Umgebungen zu, etwa in separaten Containern oder Sandboxes ohne weitreichende Rechte und ohne direkten Zugriff auf produktive Netze.
Viertens: Überwachen Sie Analyse- und Dekomprimierungsprozesse auf unerwartete Abstürze. Wiederkehrende Crashes beim Parsen komprimierter UEFI- oder Tiano-Daten können ein Hinweis auf Fehlversuche oder aktive Tests gegen die Schwachstellen sein.
Fünftens: Falls ein sofortiges Update nicht möglich ist, beschränken Sie Upload- und Verarbeitungswege für Firmware-Dateien auf vertrauenswürdige Quellen und unterbinden Sie automatische Verarbeitung unbekannter Samples vorübergehend.
Einschätzung von CyberSecurity-News.de
Die technische Schwere ist hoch, und der CVSS-Wert von 9.8 passt zur Art des Fehlers: Speicherbeschädigung in einem Parser plus potenziell erreichbarer Angriffsweg über automatisierte Verarbeitung. Für den DACH-Markt sind die Lücken aber kein Massenproblem wie eine Browser- oder VPN-Schwachstelle. Sie betreffen vor allem spezialisierte Umgebungen, in denen Firmware-Dateien analysiert oder verarbeitet werden.
Entscheidend ist deshalb der Einsatzkontext. Wer den Parser nur lokal zu Forschungszwecken nutzt, hat ein anderes Risiko als ein Unternehmen, das fremde Firmware-Dateien über Webdienste, interne Portale oder automatisierte Pipelines annimmt. Dort steigt die Priorität deutlich.
Mit CVE-2026-54333 verdichtet sich das Bild, dass der betroffene Dekomprimierungsbereich vor Version 1.14 mehrere kritisch ausnutzbare Speicherfehler enthält. Das erhöht nicht automatisch die praktische Ausnutzungswahrscheinlichkeit in jeder Umgebung, unterstreicht aber, dass isolierte Verarbeitung und ein zügiges Update hier wichtiger sind als bei einem isolierten Einzelbefund.
Die Informationslage ist brauchbar, aber begrenzt. NVD nennt für beide Einträge den CVSS-Wert und die technische Einordnung; ob bereits aktive Ausnutzung beobachtet wurde, geht daraus nicht hervor. Ebenso liegt hier keine weitergehende Herstellerkommunikation mit Migrationshinweisen, Workarounds oder betroffenen Downstream-Paketen vor.
Fazit
Wenn Sie UEFI Firmware Parser einsetzen, sollten Sie sofort auf Version 1.14 oder neuer aktualisieren und untrusted Firmware-Dateien bis dahin nur isoliert verarbeiten. Für die meisten Unternehmen sind die Lücken nur dann wirklich kritisch, wenn entsprechende Analyse- oder Upload-Prozesse existieren. Prüfen Sie genau diese Pfade zuerst.
Quellenangabe
Weiterführende Informationen: NVD-Eintrag zu CVE-2026-54334
