Суть уязвимости и масштаб угрозы
В базовом программном коде TianoCore EDK II, применяемом при создании прошивок UEFI, найдена серьезная уязвимость. Проблеме присвоен идентификатор CVE-2026-97631, а ее уровень опасности оценен в 9,5 балла из максимальных десяти. Дефект затрагивает решения от таких крупных поставщиков, как AMI, Insyde и Phoenix, а также присутствует в специализированной защищенной версии Project Mu, разработанной корпорацией Microsoft. Под угрозой потенциально находятся миллионы вычислительных систем по всему миру.
Обнаружением бреши занимались эксперты Алекс Матросов из компании Anthropic и Дэн Холмс-Митра из Google. Изначально исследователи планировали сохранить информацию в тайне до января 2027 года, однако в сентябре компания AMI неожиданно опубликовала обновление с исправлением, после чего детали раскрыл и проект TianoCore. Преждевременная публикация патча создает серьезные риски: злоумышленники могут изучить внесенные изменения и разработать рабочие эксплойты до того, как производители успеют обновить парк оборудования.
Сценарий атаки через сетевую загрузку
Уязвимость кроется в компоненте PXE-Base Code, который отвечает за загрузку операционной системы по сети. Во время этого процесса система обрабатывает входящие сообщения об ошибках протокола ICMP. Под такие пакеты разработчики выделили буфер фиксированного размера в 504 байта, забыв добавить проверку реальной длины поступающих данных. В результате отправка специально сформированного пакета большего размера приводит к переполнению буфера и перезаписи соседних областей памяти.
Для реализации атаки злоумышленнику необходим предварительный доступ к локальной сети организации, например, через взломанную учетную запись. Во время сетевой загрузки целевой машины хакер отправляет вредоносный пакет, что может привести к аварийному завершению процесса или выполнению произвольного кода с максимальными привилегиями процессора. Это позволяет обойти механизмы безопасной загрузки Secure Boot, получить доступ к модулю TPM или скомпрометировать зашифрованные накопители. При этом вредоносный код не переживает перезагрузку системы, но может успеть установить скрытые компоненты.
Реакция производителей и защита
Эксперты отмечают, что уязвимость касается исключительно машин, использующих сетевую загрузку по протоколу PXE. Устройства, загружающиеся с внутренних SSD или жестких дисков, находятся в безопасности. Представители Intel заявили, что в их актуальных коммерческих решениях уязвимый компонент не обнаружен, так как компания не добавляет его в эталонный код, хотя сторонние производители материнских плат могли внедрить его самостоятельно. В корпорации Arm также подчеркнули, что их продукция не подвержена данной угрозе.
Что это значит для вас
Если вы используете рабочие станции или серверы с активированной сетевой загрузкой, вам следует незамедлительно связаться с производителем оборудования или материнской платы для уточнения статуса обновлений UEFI. При отсутствии критической необходимости в PXE-загрузке рекомендуется временно отключить эту функцию в настройках прошивки. Сами по себе технологии TPM и Secure Boot полезны для общей безопасности, однако напрямую от данной уязвимости они защитить не могут, поэтому главным средством остается установка свежих микрокодов.
