Критическая уязвимость в UEFI позволяет атаковать серверы до запуска ОС

Что произошло

Исследователи обнаружили критическую уязвимость в ICMP-компоненте сетевого стека TianoCore EDK II. Код используется для создания UEFI-прошивок, которые работают во время загрузки серверов и других устройств.

Уязвимость получила идентификатор CVE-2026-97631 и оценку 9,5 из 10. Она позволяет атакующему выполнить код до запуска операционной системы и до того, как прошивка сможет применить такие механизмы защиты, как Secure Boot.

Как работает атака

Ошибка находится в 16-летнем переполнении буфера драйвера PXE-Base Code — NetworkPkg/UefiPxeBcDxe. Этот драйвер позволяет серверам, системам хранения и другим устройствам загружаться с использованием кода из локальной сети.

Во время сетевой загрузки драйвер принимает ICMP-сообщения и копирует их в поле фиксированного размера — 504 байта. Ограничение длины сообщения не соблюдается, поэтому сообщение большего размера может записать управляемые атакующим данные за пределами этого поля.

Атакующий может отправить вредоносное сообщение на IP-адрес устройства во время загрузки по PXE. Это может привести к зависанию процесса загрузки или к выполнению кода с максимальными привилегиями процессора.

Почему это важно

Код, запущенный на этом этапе, может обойти защитные механизмы цепочки доверия, включая Secure Boot и проверки, связанные с Trusted Platform Module. По оценке HD Moore из Dragos, уязвимость может позволить перехватить управление программным потоком до загрузки ОС и получить доступ к чувствительным компонентам.

Исследователь отметил, что такой сценарий может создать условия для обхода шифрования диска при кратковременном сетевом доступе к устройству. При этом конечная полезная нагрузка CVE-2026-97631 сама по себе не сохраняется, но может использоваться для установки других компонентов, запускаемых на раннем этапе загрузки.

Исправление миллионов конечных устройств, произведённых тысячами поставщиков оборудования и облачных провайдеров, может занять значительное время. После публикации исправляющего кода опытным атакующим будет проще изучить механизм уязвимости и создать рабочие эксплойты.

Контекст

Уязвимость обнаружили Alex Matrosov из Anthropic и Dan Holmes из Google. Изначально стороны договорились не раскрывать информацию до согласованного раскрытия, запланированного на январь.

AMI ранее опубликовала запрос на включение изменений с описанием проблемы и исправлением. После этого участники TianoCore Project выпустили публичное уведомление.

CVE-2026-97631 стала очередной серьёзной проблемой в UEFI и связанном с ним коде. Среди ранее обнаруженных уязвимостей упоминаются LogoFail и PixieFail, также связанная с ошибками загрузки по PXE в EDK2.