О критической уязвимости UEFI стало известно на несколько месяцев раньше срока
Изображение: OpenAI
О критической уязвимости CVE-2026-97631 в UEFI-прошивках стало известно раньше срока из-за публикации изменения кода с исправлением, одобренного инженером производителя прошивок AMI, сообщает The Next Web. Исследователи Anthropic и Google планировали раскрыть её в январе 2027 года. Ошибка позволяет выполнить код до запуска ОС, если машина загружается по сети; TianoCore, которая ведёт EDK II, оценила её в 9,5 балла из 10.
EDK II — проект с открытым исходным кодом, на основе которого создают UEFI-прошивки. Ошибка находится в драйвере сетевой загрузки PXE. В обработчиках IPv4 и IPv6 он неверно проверяет длину входящего ICMP-сообщения об ошибке и копирует лишние данные за пределы 504-байтного буфера. Одного специально сформированного сообщения достаточно, чтобы остановить загрузку.
Чтобы выполнить код до проверок Secure Boot, злоумышленнику нужно подготовить эксплойт под конкретную сборку прошивки и конфигурацию устройства. Исследователи считают, что для атаки необходим определённый контроль над локальной сетью. Машины, которые загружаются только с диска, не затронуты.
Исправление вошло в исходный код EDK II 15 октября, но стабильного выпуска с ним пока нет. Microsoft выпустила исправленные сборки Project Mu, своей версии EDK II, 26 октября. Для серверов требуется обновление BIOS или UEFI от поставщика прошивки.
Какие именно устройства содержат уязвимый код, пока неизвестно. Сведений об атаках нет. По словам главного исследователя компании по информационной безопасности Dragos, уязвимость может позволить обойти шифрование диска при кратковременном доступе злоумышленника к сети; при краже устройства это ещё проще.
До выхода обновлений Ars Technica рекомендует администраторам по возможности отключить сетевую загрузку и проверять журналы событий на признаки попыток эксплуатации.
