Обнаружена критическая уязвимость выполнения кода в UEFI прошивке, угрожающая глобальным серверам

Image: Ars Technica · Source

Серьезная ошибка в прошивке TianoCore EDK II UEFI, используемой большинством серверов, позволяет выполнить код на раннем этапе загрузки, рискуя нарушениями безопасности до активации защит Secure Boot.

Критическая уязвимость безопасности с идентификатором CVE-2026-97631 была обнаружена в TianoCore EDK II — открытой реализации прошивки UEFI, широко используемой в серверах по всему миру. Эта ошибка повреждения памяти в компоненте ICMP драйвера PXE-Base Code позволяет злоумышленникам выполнить вредоносный код на раннем этапе загрузочного процесса, до того как защиты, такие как Secure Boot и Trusted Platform Module (TPM), установят целостность системы.

Уязвимость вызвана 16-летним переполнением буфера в модуле NetworkPkg\UefiPxeBcDxe, который обрабатывает ICMP-сообщения об ошибках во время сетевой загрузки (PXE boot). Конкретно, не соблюдается ограничение в 504 байта при копировании данных об ошибках ICMP, что позволяет специально сформированным сообщениям переписать память и захватить выполнение процессора на уровне привилегий ring 0. Это открывает путь для злоумышленников с сетевым доступом — зачастую инсайдеров или продвинутых оппонентов, контролирующих сегменты локальной сети — внедрять и выполнять полезные нагрузки при старте системы.

Уязвимость была обнаружена Алексом Матросовым из Anthropic и Дэном Холмсом из Google. Первоначально планировалось ее согласованное публичное раскрытие в январе 2027 года, однако раннее раскрытие производителем оборудования AMI привело к выпуску публичного предупреждения. Поскольку код эксплойта может быть относительно прост в разработке на основе опубликованного патча, риск атак на бесчисленные серверы и облачные устройства существенно возрос. Установка обновлений затруднена из-за огромной установленной базы, разнообразия производителей оборудования и необходимости обновления прошивки.

Эксперты по безопасности отмечают, что эта уязвимость нарушает цепочку доверия на раннем этапе загрузки, позволяя злоумышленникам обходить подтверждение подлинности прошивки и потенциально взламывать шифрование дисков, особенно в сценариях кратковременного сетевого доступа или кражи устройства. Проблема особенно опасна, поскольку возникает до полной инициализации операционной системы и защищенных компонентов прошивки.

В отличие от других резонансных ошибок UEFI, таких как LogoFail или BootHole, эту уязвимость можно исправить кодовой правкой без необходимости управления ключами Secure Boot или обновления операционной системы. Тем не менее распространение обновлений BIOS/UEFI на большое количество устройств остается логистической проблемой.

Уязвимость в первую очередь затрагивает серверы и корпоративное оборудование, использующее сетевую загрузку с прошивкой EDK II. Она не влияет на типичных домашних или малых офисных пользователей, загружающихся исключительно с локальных дисков. Крупные вендоры, такие как Intel и Arm, заявляют, что их текущие коммерческие поддерживаемые продукты не подвергаются прямому воздействию, хотя компоненты с интегрированным EDK II могут нести риск. Запросы к другим крупным затронутым организациям остались без комментариев.

С учетом серьезности и широкого применения эталонной реализации EDK II организациям с серверами, поддерживающими сетевую загрузку, рекомендуется проверить версии прошивок, консультироваться с поставщиками и рассмотреть временное отключение сетевой загрузки в качестве меры предосторожности. Важно сохранять включенными функции безопасности, такие как TPM и Secure Boot, несмотря на то, что они не полностью устраняют эту конкретную угрозу. Также рекомендуется мониторить попытки эксплуатации через ведение логов.

Данная уязвимость подчеркивает продолжающиеся риски, связанные с фундаментальными интерфейсами прошивки, критически важными для безопасности глобальной IT-инфраструктуры. Это напоминание о сложности и вызовах в защите ранних стадий загрузочных сред на фоне развивающихся ландшафтов угроз.