Уязвимость с оценкой 9,5 балла затронула прошивки серверов

Исследователям и владельцам серверов предстоит выяснить, какие устройства используют уязвимый компонент.

Ошибка получила обозначение CVE-2026-97631. Она находится в компоненте, который обрабатывает сетевые сообщения ICMP при загрузке через PXE. Этот механизм позволяет серверу, системе хранения данных или другому устройству получить загрузочный код из сети. Для атаки устройство должно использовать соответствующую функцию EDK2 и находиться в процессе сетевой загрузки: компьютеры, которые запускаются только с диска, эта уязвимость не затрагивает.

EDK2 широко применяется поставщиками прошивок UEFI, в том числе AMI, Insyde и Phoenix. Уязвимый компонент также присутствовал в Project Mu, ответвлении EDK2 от Microsoft. Наличие EDK2 не означает, что уязвима каждая прошивка на его основе: значение имеют её состав и использование PXE.

Как работает уязвимость EDK2

Проблема связана с переполнением буфера в драйвере PXE-Base Code. Во время сетевой загрузки он принимает сообщения об ошибках ICMP и копирует их в поле размером 504 байта. Обработчики IPv4 и IPv6 некорректно проверяют границы при копировании: сообщение большего размера может записать данные за пределами поля. Согласно опубликованному описанию, более ранние этапы обработки также не ограничивают длину такого сообщения.

Злоумышленник может отправить подготовленное сообщение на IP-адрес устройства, если попадёт во время его загрузки через PXE. Для доставки подходит обычный одноадресный сетевой пакет. Ошибка способна остановить загрузку; при знании конкретной сборки прошивки атакующий может добиться исполнения своего кода в среде UEFI с высшим уровнем привилегий процессора.

Сам код, запущенный через CVE-2026-97631, выполняется однократно и не закрепляется в системе. Но доступ на ранней стадии загрузки может помочь установить другой компонент, который будет запускаться повторно. Исследователь компании Dragos Х. Д. Мур обратил внимание, что в этот момент процесс загрузки ещё имеет доступ к чувствительным компонентам устройства, включая модуль TPM. По его оценке, при определённых условиях атака может затронуть защиту зашифрованного диска.

Эксплуатация требует дополнительных условий. Исследователь Eclypsium Джесси Майкл объяснил, что атакующему нужно подобрать адреса в памяти целевой системы. Они меняются в зависимости от модели, версии прошивки и конфигурации, поэтому один и тот же эксплойт не подойдёт для множества разных устройств. Данных о том, что уязвимость сама по себе позволяет впервые проникнуть в сеть организации, нет.

Раскрытие ошибки и обновление прошивок

CVE-2026-97631 обнаружили Алекс Матросов из Anthropic и Дэн Холмс из Google. Они рассчитывали раскрыть сведения согласованно в январе, но AMI опубликовала запрос на изменение кода с описанием ошибки и исправлением раньше намеченного срока. После этого участники проекта TianoCore выпустили публичное уведомление. Опубликованный патч позволяет специалистам разобраться в механизме уязвимости, но упрощает эту задачу и для разработчиков эксплойтов.

Исправление самой ошибки, по словам Джесси Майкла, требует обновления BIOS или UEFI. В отличие от некоторых прежних проблем безопасности загрузки, менять ключи Secure Boot, отзывать их или обновлять установочные носители операционных систем не требуется. Исправленную прошивку нужно распространить среди устройств разных производителей и конфигураций.

Intel сообщила, что ей неизвестно о затронутых коммерческих продуктах компании, которые сейчас получают обновления безопасности. По словам компании, уязвимая функция отсутствует в её эталонном коде, хотя её может добавить изготовитель платы или системы. Arm заявила, что CVE-2026-97631 напрямую не относится к её продуктам. Эти заявления не описывают состояние всех устройств на базе соответствующих платформ: состав готовой прошивки зависит и от её производителя.

Организациям, которые загружают машины по сети, необходимо уточнить у производителя прошивки, затронуты ли их системы и доступно ли обновление. В качестве временной меры можно рассмотреть отключение сетевой загрузки, если она не нужна. TPM и Secure Boot следует оставлять включёнными там, где это возможно, но от этой конкретной атаки они не защищают: вредоносный код может выполниться раньше предусмотренных ими проверок.