Критическая уязвимость в прошивке UEFI угрожает большинству серверов мира
В открытом коде EDK II, на основе которого создают прошивки UEFI, обнаружена критическая уязвимость CVE-2026-97631, позволяющая выполнить вредоносный код до загрузки операционной системы. Сведения стали публичными раньше запланированного срока, а установка исправлений займёт время.
В открытой кодовой базе TianoCore EDK II обнаружена критическая уязвимость. Этот код используют большинство производителей серверов и дата-центров, чтобы создавать прошивку UEFI, которая работает при включении компьютера, до запуска операционной системы. Уязвимость, зарегистрированная как CVE-2026-97631, получила 9,5 балла из 10 и позволяет злоумышленникам выполнить вредоносный код на самом раннем этапе загрузки.
В чём суть уязвимости
Ошибка представляет собой повреждение памяти в компоненте обработки ICMP (протокола сетевых сообщений об ошибках) в драйвере PXE Base Code, который позволяет серверам и другим устройствам загружаться с кода, полученного по локальной сети. Драйвер не соблюдает ограничение копирования в 504 байта, поэтому слишком длинное сообщение об ошибке перезаписывает соседние данные. Дефект существует в коде 16 лет.
Внедрённый код выполняется до Secure Boot и других механизмов защиты, формирующих цепочку доверия, включая доверенный платформенный модуль (TPM). Такая нагрузка запускается только один раз и не закрепляется в системе, но может помочь установить другие вредоносные компоненты.
Раскрытие раньше срока
Уязвимость нашли Алекс Матросов из Anthropic и Дэн Холмс из Google, публикация была согласована на январь. Компания AMI, выпускающая материнские платы и другое оборудование, в прошлом месяце опубликовала запрос на изменение с описанием ошибки и исправлением. На прошлой неделе участники проекта TianoCore выпустили публичное уведомление. Когда код исправления доступен всем, опытным злоумышленникам проще создать рабочие эксплойты.
Ограничения и рекомендации
Для атаки нужен определённый уровень доступа к локальной сети, а злоумышленнику необходимо знать версию прошивки цели. Домашних пользователей и малые офисы, которые загружаются только с дисков, это не касается. В Intel заявили, что среди её коммерческих продуктов на поддержке по безопасности затронутых не известно, а Arm сообщила, что уязвимость напрямую не относится к её продуктам. AMD, Phoenix, AMI, Microsoft и Amazon на вопросы не ответили.
Затронутым организациям советуют обратиться к производителю прошивки, по возможности хотя бы временно отключить сетевую загрузку и следить за журналами на предмет попыток эксплуатации.
