Специалисты по кибербезопасности по всему миру сталкиваются с последствиями новой крайне опасной программной уязвимости, связанной с выполнением кода на раннем этапе загрузки (Boot-time), которая присутствует в прошивках, используемых подавляющим большинством поставщиков серверов и дата-центров по всему миру.
Уязвимость имеет оценку критичности 9.5 из 10 и сосредоточена в TianoCore EDK II, которая представляет собой кодовую базу с открытым исходным кодом, на которую опираются производители оборудования и облачные провайдеры для разработки прошивок UEFI, работающих во время последовательности загрузки устройств. Уязвимость отслеживается под идентификатором CVE-2026-97631 и представляет собой сбой повреждения памяти в компоненте ICMP, который позволяет злоумышленникам выполнять вредоносный код до запуска операционной системы и активации механизмов защиты, таких как безопасная загрузка (Secure Boot).
Способ эксплуатации уязвимости и ее технический механизм
Проблема заключается в коде драйвера сетевой загрузки под названием PXE-Base Code, который отвечает за возможность загрузки устройств и серверов с использованием кода, загружаемого по локальной сети. В ходе этого процесса драйвер использует сетевой прослушиватель для отслеживания ошибок ICMP без ограничения копирования памяти, превышающего 504 байта. Это позволяет злоумышленнику, имеющему доступ низкого уровня к локальной сети, отправить сообщение об ошибке, размер которого превышает допустимый предел, что приводит к перезаписи соседних данных и повреждению модуля UEFI, работающего на центральном процессоре с наивысшим уровнем привилегий (Ring 0).
Почему эта новость важна и каковы ее практические последствия?
Опасность уязвимости заключается в ее способности обойти цепочку доверия до загрузки доверенного модуля ядра TPM и механизмов безопасной загрузки, предоставляя злоумышленникам отличную возможность для повышения привилегий или выведения систем из строя. Тем не менее, существуют практические ограничения, снижающие легкость ее эксплуатации: для уязвимости требуется предварительный доступ злоумышленника к локальной сети и угадывание конкретных адресов внутри целевой системы, что означает, что она не затрагивает обычных пользователей или устройства, загружающиеся исключительно с локальных дисков, а ограничивается организациями, зависящими от сетевой загрузки и использующими фреймворк EDK2.
Исследователи и разработчики прошивок поспешили предоставить необходимые обновления и рекомендации, призывая организации проверять поставщиков систем и срочно применять патчи ПО, а также рассмотреть возможность временного отключения функций сетевой загрузки при их ненадобности и мониторинга журналов на предмет любых попыток эксплуатации.