BI.ZONE предупреждает об уязвимости в Microchip

Специалисты BI.ZONE Embedded Systems Security Assessment обнаружили уязвимость высокого уровня критичности в микроконтроллерах Microchip.

Уязвимость (CVE-2026-18349, BDU:2026-14452) с оценкой 7,3 по шкале CVSS 4.0 найдена в процессоре SAMA5D4. Он применяется в устройствах с воспроизведением видео и графики: медицинских мониторах, медиатерминалах, системах контроля доступа, умных домах, промышленном оборудовании и популярных моделях POS-терминалов. Продукты Microchip используют более 100 тысяч компаний по всему миру.

Эксплуатация уязвимости позволяет злоумышленнику обойти механизм безопасной загрузки secure boot, извлечь ключи шифрования прошивки и получить доступ к исполняемому коду, а также к другим пользовательским данным, которые хранятся на устройстве. Информация была направлена вендору в рамках процедуры ответственного разглашения.

Юрий Купашев, руководитель BI.ZONE ESSA

Уязвимости на уровне микроконтроллеров и механизмов безопасной загрузки особенно опасны: они затрагивают фундамент доверия ко всей системе. Если злоумышленнику удается обойти secure boot, он получает возможность воздействовать на программный код устройства еще до запуска операционной системы и штатных механизмов защиты. В рамках исследования нам удалось реализовать такой сценарий на одном из широко используемых семейств микроконтроллеров Microchip. Этот случай еще раз показывает, насколько важно исследовать безопасность встраиваемых устройств не только на уровне прикладного ПО, но и на уровне аппаратных компонентов и механизмов загрузки.

Microchip Technology — один из ведущих мировых разработчиков и производителей микросхем и электронных компонентов для индустриальных, автомобильных, телекоммуникационных сфер применения. Компания уделяет особое внимание безопасности своей продукции. Microchip приняла меры по устранению уязвимости, опубликовав уведомление.