Серверы можно атаковать ещё до запуска операционной системы, отправив специально подготовленный сетевой пакет. Исследователи обнаружили критическую уязвимость в UEFI-прошивках, которая позволяет перехватить управление компьютером раньше, чем сработают привычные механизмы защиты.
Проблема получила идентификатор CVE-2026-97631 и оценку 9,5 балла из 10 по шкале CVSS 4.0. Уязвимость затрагивает TianoCore EDK II, открытый набор компонентов, на основе которого производители создают UEFI-прошивки. Код EDK II используют крупные поставщики, включая AMI, Insyde и Phoenix, а также платформа Project Mu компании Microsoft.
Ошибка скрывалась около 16 лет в драйвере UefiPxeBcDxe, отвечающем за сетевую загрузку PXE. Такой способ позволяет серверу получать загрузочные файлы через сеть вместо локального накопителя. Во время запуска драйвер принимает сообщения об ошибках ICMP, которые помогают сетевым устройствам сообщать о проблемах с передачей пакетов.
Разработчики выделили для сообщений ICMP буфер размером 504 байта, но неправильно ограничили объём копируемой информации. Если отправить сообщение большего размера, лишние данные попадут в соседние области памяти. Переполнение затрагивает обработчики IPv4 и IPv6 и позволяет злоумышленнику повредить внутренние структуры прошивки.
Последствия зависят от подготовки атаки. Простейший сценарий позволяет нарушить загрузку сервера, вызвав сбой. Если атакующий знает конкретную сборку прошивки и расположение структур в памяти, появляется возможность выполнить произвольный код на этапе DXE с максимальными привилегиями процессора. Такой код запускается раньше операционной системы и её средств защиты.
Особую опасность представляет возможность вмешаться в загрузочную цепочку до проверок Secure Boot. Вредоносный код потенциально способен подменить загружаемые компоненты или подготовить более устойчивое заражение. Ранее исследователи уже демонстрировали похожие угрозы при атаках LogoFAIL на UEFI-прошивки.
Для атаки не требуются учётные данные. Специальное ICMP-сообщение можно отправить даже из удалённой сети, если пакет достигнет нужного IP-адреса. Однако сервер должен именно в момент атаки проходить PXE-загрузку. Компьютеры, которые запускаются исключительно с локального диска, не подвержены описанному способу эксплуатации.
Уязвимость обнаружили Алекс Матросов из Anthropic и Дэн Холмс-Митра из Google. Публичное раскрытие первоначально планировали на январь 2027 года, но сотрудник AMI преждевременно разместил исправление в открытом репозитории. Разработчикам пришлось опубликовать предупреждение 22 октября, раньше согласованного срока.
На момент публикации предупреждения готового исправленного релиза EDK II ещё не было, хотя разработчики подготовили изменения в коде. Владельцам серверов рекомендуют уточнить статус прошивки у производителя и временно отключить ненужную PXE-загрузку. Дополнительную информацию о защите от подобных угроз можно найти в материале об UEFI-вредоносах.
