Информация об уязвимости стала публичной на несколько месяцев раньше срока. Её обнаружили Алекс Матросов из Anthropic и Дэн Холмс-Митра из Google. Они планировали раскрыть её в январе 2027 года, сообщил Дэн Гудин в Ars Technica. В сентябре в публичном изменении кода, одобренном инженером производителя прошивок AMI, уязвимость была описана по номеру CVE, а само изменение содержало исправление.
«Это можно использовать для взлома шифрования диска в случаях, когда у злоумышленника есть кратковременный доступ к сети (а в сценарии кражи это было бы ещё проще)», — сказал Ars Technica Эйч Ди Мур, директор по исследованиям компании Dragos, специализирующейся на безопасности.
Как работает атака
Ошибка находится в драйвере, который позволяет машине загружаться по сети, — этот процесс известен как PXE. Во время такой загрузки драйвер копирует входящие сообщения об ошибках ICMP в фиксированную область памяти размером 504 байта. Это небольшие служебные сообщения, которые отправляют в ответ сетевые устройства. Проверки размера в драйвере реализованы неверно, поэтому более длинное сообщение перезаписывает соседнюю память данными, выбранными злоумышленником, говорится в бюллетене.
Одно специально сформированное сообщение может вызвать зависание загрузки. Злоумышленник, знающий точную сборку прошивки, может пойти дальше и выполнить собственный код на самом привилегированном уровне процессора — ещё до того, как Secure Boot что-либо проверит. Согласно бюллетеню, сообщение может прийти «с любого сетевого расстояния», пока машина загружается таким способом.
Исследователи, побеседовавшие с Ars, обозначили ограничения. Злоумышленнику нужен определённый контроль над локальной сетью, что указывает на инсайдеров или взломщиков, уже закрепившихся в ней. Кроме того, атакующим приходится настраивать каждый эксплойт под конкретную модель и конфигурацию. Red Hat и SUSE оценивают уязвимость как эксплуатируемую из смежной сети, сообщает The Hacker News. Машин, загружающихся только с локального диска, уязвимость не затрагивает.
Кого это касается
EDK II служит основой для прошивок AMI, Insyde и Phoenix, а также для Project Mu — защищённой версии от Microsoft, сообщает Ars. Intel заявила Ars, что ей неизвестно ни об одном поддерживаемом коммерческом продукте компании, затронутом уязвимостью, хотя производители устройств могли добавить этот код. Arm сообщила, что уязвимость напрямую не касается её продуктов. AMD, AMI, Phoenix, Microsoft и Amazon не ответили на вопросы Ars.
Red Hat, SUSE и Debian указывают свои пакеты EDK II как уязвимые и пока не исправленные, сообщает The Hacker News. Признаков атак пока нет. По состоянию на 27 октября уязвимость отсутствовала в каталоге эксплуатируемых уязвимостей, который ведёт CISA — американское агентство по кибербезопасности.
В ожидании патча
TianoCore внёс исправление в исходный код EDK II 15 октября, сообщает The Hacker News. Ни один стабильный релиз его пока не содержит, а в бюллетене не указана исправленная версия. Project Mu от Microsoft выпустил сборки с исправлением 26 октября. Операторам серверов по-прежнему придётся ждать, пока производитель прошивки выпустит обновление BIOS или UEFI.
Это обновление должно быть проще прежних исправлений прошивок. Джесси Майкл, ведущий исследователь компании Eclypsium, занимающейся безопасностью прошивок, сказал Ars, что ошибку «можно устранить простым исправлением кода» без необходимости отзывать ключи безопасности. До тех пор Ars советует по возможности отключить сетевую загрузку и следить за журналами на предмет попыток эксплуатации.
Ars назвал это очередным провальным раскрытием после экстренных патчей PHP, выпущенных 21 октября для двух критических уязвимостей, ставших публичными раньше срока. Сейчас злоумышленники эксплуатируют обе уязвимости PHP2Shell. На этой неделе Microsoft также выпустила экстренные исправления .NET для ещё одной критической ошибки.
Опубликовано 28 октября 2026 - 10:28 Наверх
