В коде для прошивок UEFI нашли 16-летнюю уязвимость с оценкой 9,5

Ошибка получила оценку серьёзности 9,5 из 10 и затрагивает программную основу прошивок многих производителей серверов. Она позволяет атакующему выполнить программу до запуска операционной системы и её защитных механизмов.

Ошибка находится в открытом проекте TianoCore EDK II. На его базе производители оборудования и облачные провайдеры создают прошивки UEFI. Код EDK II широко используют поставщики прошивок AMI, Insyde и Phoenix. Уязвимый компонент был и в Project Mu — версии EDK II от Microsoft. Однако сам факт использования EDK II не означает, что сервер уязвим: это зависит от состава прошивки и способа загрузки, сообщает Ars Technica.

CVE-2026-97631 связана с переполнением буфера в драйвере PXE-Base Code, который помогает устройствам загружать код по сети. Во время загрузки драйвер принимает сообщения об ошибках ICMP и копирует их в область памяти размером 504 байта. Если сообщение длиннее, проверка границ работает неправильно: в обработчиках IPv4 и IPv6 данные могут выйти за пределы этой области. По данным исследователей, ошибке 16 лет.

Во время PXE-загрузки злоумышленник может отправить специально подготовленное сообщение на IP-адрес устройства. Это способно остановить запуск. Чтобы выполнить свой код, атакующему нужно знать сборку прошивки и подобрать параметры под конкретное устройство. При успешной атаке код работает в среде UEFI на самом привилегированном уровне процессора, до загрузки ОС и включения таких механизмов защиты, как Secure Boot.

Вредоносная программа, запущенная через эту ошибку, не сохраняется после перезагрузки. Но доступ на раннем этапе запуска может помочь установить другой компонент, который будет срабатывать при следующих загрузках. Исследователь компании Dragos Эйч Ди Мур также указал на риск для шифрования диска: в этот момент процесс загрузки ещё имеет доступ к чувствительным компонентам устройства, включая модуль TPM.

Исправление уязвимости прошивки серверов

Матросов и Холмс рассчитывали раскрыть уязвимость в январе 2027 года. Но в сентябре AMI опубликовала запрос на изменение кода с описанием ошибки и исправлением. Узнав об этом, участники проекта TianoCore выпустили предупреждение. Исправление теперь доступно публично. Производителям предстоит перенести его в свои прошивки и выпустить обновления для пользователей оборудования.

Исследователь компании Eclypsium Джесси Майкл отметил, что универсальной атаки на все устройства нет. Чтобы выполнить код, нужно подобрать адреса в памяти. Они различаются в зависимости от модели, версии и конфигурации прошивки. Исправление не требует отзывать ключи Secure Boot или обновлять установочные носители ОС: производителю достаточно исправить код и выпустить обновление BIOS или UEFI.

Для эксплуатации нужен доступ к сети, по которой загружается устройство. Нет данных о том, что CVE-2026-97631 позволяет впервые проникнуть во внутреннюю сеть организации. Ошибка не затрагивает устройства, которые загружаются только с диска. Риск относится к системам с уязвимым кодом EDK II и функцией PXE. Она включена по умолчанию, но для атаки нужно застать устройство во время сетевой загрузки.

Intel заявила, что среди её коммерческих продуктов с действующей поддержкой нет известных уязвимых устройств. Компания не включает проблемный компонент EDK II в свой эталонный код, но допускает, что его могли добавить производители плат или готовых систем. Arm сообщила, что CVE-2026-97631 напрямую не относится к её продуктам. Состав прошивки отдельных серверов нужно уточнять у производителей.

Администраторам систем с сетевой загрузкой рекомендуют запросить у производителя прошивки сведения об уязвимости и обновлении. Если возможно, сетевую загрузку можно временно отключить, а журналы проверять на признаки попыток атаки. TPM и Secure Boot следует оставить включёнными там, где это предусмотрено конфигурацией, но от эксплуатации этой ошибки они не защищают.