Уязвимость CVE-2026-97631 в UEFI TianoCore EDK II: детали и устранение

Исследователи безопасности раскрыли детали и устранили критическую уязвимость в открытой эталонной реализации UEFI TianoCore EDK II (EFI Development Kit II), которая массово применяется в современных серверных материнских платах. Проблема получила идентификатор CVE-2026-97631 и затрагивает сетевые компоненты прошивок.

• Уязвимость затронула эталонную реализацию UEFI TianoCore EDK II.
• Проблема кроется в драйвере PXE и обработке ICMP-пакетов.
• Атака позволяет выполнить произвольный код без аутентификации.
• Угроза затрагивает серверные системы, дата-центры и облачных провайдеров.

Суть уязвимости и механизм атаки

Согласно данным специалистов по информационной безопасности, уязвимость CVE-2026-97631 присутствует непосредственно в драйвере PXE. Она может быть успешно использована злоумышленниками посредством отправки специально сформированных ICMP-пакетов во время сетевой загрузки как в сетях IPv4, так и в IPv6. Примечательно, что для проведения такой атаки не требуется предварительной аутентификации, что делает ее особенно опасной для инфраструктурных решений.

Технически проблема вызвана классическим переполнением буфера в обработчике ICMP-сообщений внутри драйвера UefiPxeBcDxe. Этот драйвер отвечает за PXE-загрузку и принимает ICMP-пакеты в процессе загрузки по сети для фиксации сетевых ошибок. Переполнение возникает из-за помещения получаемых сообщений об ошибках в фиксированный буфер размером 504 байта без предварительной проверки фактического размера входящих данных.

Масштаб проблемы и последствия

В случае отправки более 504 байтов в ICMP-пакете, не вмещающийся хвост записывается строго за пределами выделенного буфера, накладываясь на идущие следом структуры памяти. Это позволяет злоумышленнику выполнить произвольный код с привилегиями UEFI-прошивки на самом раннем этапе — до передачи управления операционной системе, обходя механизм верифицированной загрузки UEFI Secure Boot.

Проект EDK II, открытый компанией Intel еще в 2004 году, активно используется всеми крупными производителями прошивок для серверных систем, дата-центров и облачных провайдеров. Уязвимость также присутствует в прошивках от AMI, Insyde, Phoenix и на базе платформы Mu от Microsoft, которая является форком EDK II.

Предыстория раскрытия и защита

Уязвимость была обнаружена представителями компаний Anthropic и Google, а ее скоординированное публичное раскрытие планировалось на январь 2027 года. Однако информацию пришлось обнародовать раньше намеченного срока из-за инцидента: инженер из компании AMI случайно нарушил эмбарго, опубликовав публичный pull-запрос с исправлением.

Для проведения атаки злоумышленнику достаточно знать IP-адрес жертвы и точный момент сетевой загрузки сервера. Обновления безопасности уже подготовлены, и разработчикам серверных систем рекомендуется незамедлительно применить исправления для предотвращения потенциальных угроз.