В открытом программном продукте TianoCore EDK II, на основе которого многие производители разрабатывают прошивки UEFI, обнаружена критическая уязвимость, сообщает Ars Technica. Уязвимости присвоен номер CVE-2026-97631, степень угрозы — 9,5 балла из 10. Она позволяет выполнять вредоносный код ещё до запуска ОС.

Код EDK II используется такими поставщиками прошивок как AMI, Insyde и Phoenix; уязвимый код присутствует в Project Mu — этот вариант EDK II с упором на безопасность доработала Microsoft. Под угрозой значительное число систем. Уязвимость обнаружили Алекс Матросов (Alex Matrosov) из Anthropic и Дэн Холмс-Митра (Dan Holmes-Mitra) из Google, которые договорились не предавать информацию огласке до января 2027 года.

В сентябре производитель материнских плат и другого оборудования AMI, однако, опубликовал обновление кода, в котором раскрыл проблему и предложил её решение. После этого информацию обнародовал и проект TianoCore. Общедоступный код с исправлением ошибки создаёт угрозу, что злоумышленники проанализируют его и найдут способ воспользоваться уязвимостью. На разработку и обновление прошивок уйдёт немало времени, учитывая, что под угрозой миллионы систем.

Уязвимость связана с ошибкой переполнения буфера, при которой ПО производит запись данных за пределами выделенного фрагмента памяти. Проблема обнаружена в компоненте сетевой загрузки систем PXE-Base Code. В процессе загрузки по сети данный компонент принимает сообщения об ошибках ICMP — для такого сообщения выделяются 504 байта памяти, но при этом не проводится проверка длины поступающих данных. Если сообщение оказывается длиннее допустимого, его фрагмент может перезаписаться в соседнем участке памяти.

Для развёртывания атаки злоумышленнику требуется отправить специально сформированное сетевое сообщение на адрес машины в момент её загрузки по сети. Атака способна вызвать сбой во время загрузки, а если злоумышленнику известны особенности конкретной версии прошивки, то возникает возможность и выполнить произвольный код с максимальными привилегиями процессора. Нарушается цепочка доверенной загрузки, которая должна гарантировать, что в процессе исполняется только проверенный код; может открыться доступ к TPM или к зашифрованному диску. После перезагрузки вредоносный код не сохраняется, но при его исполнении на машину может установиться дополнительная полезная нагрузка.

На практике для эксплуатации этой уязвимости необходим доступ к локальной сети, например, через скомпрометированную учётную запись, или иные способы присутствия внутри организации. Сама по себе CVE-2026-97631 не открывает возможности проникнуть в сеть. Уязвимость относится только к машинам с сетевой загрузкой, в первую очередь с прошивками на основе EDK II с поддержкой PXE — систем, которые загружаются с внутренних накопителей, это не касается.

Среди коммерческих продуктов Intel, которые продолжают получать обновления безопасности, моделей под угрозой не обнаружено, заявили в компании. В собственный эталонный код она уязвимый компонент EDK II не включает, но это могут делать производители материнских плат или компьютеров. К продукции Arm уязвимость отношения не имеет, подчеркнули там. Организациям, в которых используются машины с сетевой загрузкой, рекомендовали обратиться к поставщикам прошивок, уточнить, есть ли угроза для соответствующего оборудования, и в какие сроки ожидать исправления. При наличии возможности следует временно отключить загрузку по сети.

Ранее в системах защиты электронной почты Cisco обнаружили активно используемую уязвимость, которая эксплуатируется при помощи вредоносных писем. Шесть серьёзных уязвимостей обнаружены в оборудовании MikroTik — Роскомнадзор рекомендовал провайдерам проверить это оборудование. Более трети систем управления инфраструктурой в российских ЦОД работают на уязвимом ПО, показало исследование.

Источник:

• Ars Technica