Как сообщает Ars Technica, в открытом программном продукте TianoCore EDK II, на базе которого множество производителей создают прошивки UEFI, выявлена критическая уязвимость. Ей присвоен идентификатор CVE-2026-97631, а уровень опасности составляет 9,5 балла из 10. Эксплуатация бреши даёт возможность исполнять вредоносный код ещё до загрузки операционной системы.
Код EDK II применяется такими поставщиками прошивок, как AMI, Insyde и Phoenix; уязвимый компонент также присутствует в Project Mu — защищённом варианте EDK II, который доработала Microsoft. В зоне риска оказалось значительное количество систем. Уязвимость выявили Алекс Матросов (Alex Matrosov) из Anthropic и Дэн Холмс-Митра (Dan Holmes-Mitra) из Google, которые условились не раскрывать сведения публично до января 2027 года.
Источник изображения: Egor Komarov / unsplash.com
В сентябре компания AMI, занимающаяся выпуском материнских плат и прочего оборудования, всё же выпустила обновление кода, где описала проблему и представила способ её устранения. Вслед за этим сведения предал огласке и проект TianoCore. Публично доступный код с исправлением уязвимости создаёт риск того, что злоумышленники изучат его и обнаружат путь к использованию бреши. На создание и распространение обновлённых прошивок потребуется существенное время, особенно с учётом того, что под угрозой находятся миллионы систем.
Уязвимость вызвана ошибкой переполнения буфера, когда программа записывает данные за границами выделенного участка памяти. Проблема выявлена в компоненте сетевой загрузки систем PXE-Base Code. Во время загрузки по сети этот компонент принимает сообщения об ошибках ICMP — под такое сообщение отводится 504 байта памяти, однако длина поступающих данных при этом не проверяется. Если сообщение превышает допустимый размер, его фрагмент может быть записан в соседний участок памяти.
Чтобы провести атаку, злоумышленнику нужно послать особым образом сформированный сетевой пакет на адрес устройства в тот момент, когда оно загружается по сети. В результате может произойти сбой при загрузке, а при знании особенностей конкретной версии прошивки появляется возможность выполнить произвольный код с наивысшими привилегиями процессора. Это нарушает цепочку доверенной загрузки, призванную обеспечивать исполнение только проверенного кода; возможен также доступ к TPM или к зашифрованному диску. После перезагрузки вредоносный код не сохраняется, однако при его выполнении на устройство может быть установлена дополнительная полезная нагрузка.
На практике для использования этой уязвимости требуется доступ к локальной сети — например, через скомпрометированную учётную запись или иные способы присутствия внутри организации. Сама по себе CVE-2026-97631 не даёт возможности проникнуть в сеть. Уязвимость затрагивает только устройства с сетевой загрузкой, прежде всего прошивки на основе EDK II с поддержкой PXE — систем, которые загружаются с внутренних накопителей, это не касается.
В Intel сообщили, что ни одна из коммерческих моделей, для которых по-прежнему выпускаются патчи безопасности, не подвержена риску. Уязвимый компонент EDK II в собственный референсный код компания не включает, однако его могут добавлять производители материнских плат или готовых компьютеров. В Arm подчеркнули, что к их продукции данная уязвимость отношения не имеет. Организациям, эксплуатирующим машины с сетевой загрузкой, посоветовали связаться с поставщиками прошивок, выяснить, существует ли риск для конкретного оборудования и когда ждать исправлений. Если есть возможность, стоит на время отказаться от загрузки по сети.
Ранее в системах защиты электронной почты Cisco была выявлена активно эксплуатируемая уязвимость, которую злоумышленники используют через вредоносные письма. Шесть серьёзных уязвимостей нашли в оборудовании MikroTik — Роскомнадзор порекомендовал провайдерам проверить такие устройства. Исследование показало, что свыше трети систем управления инфраструктурой в российских ЦОД функционируют на уязвимом ПО.
Материалы по теме:
- Создатель VMmanager устранил уязвимость нулевого дня после крупномасштабной кибератаки, в которой использовался искусственный интеллект
- Проблемы безопасности BMC остаются неисправленными свыше десяти лет
- AMD сообщила об уязвимости в чипах архитектуры Zen 2 — для EPYC Rome обновления прошивок выпускаться не будут
- Китай находит пути обхода американских санкций через облачные сервисы: к 2027 году страна получит вычислительные ресурсы эквивалентные 2,8 млн NVIDIA H100
- На eBay появился подержанный суперкомпьютер с ценником в $60 миллионов
Источник:
- Ars Technica