Критическая уязвимость CVE-2026-97631 обнаружена в кодовой базе TianoCore EDK II, используемой производителями оборудования и облачными провайдерами для создания прошивок UEFI. Уязвимость получила оценку 9,5 из 10 по шкале опасности и связана с ошибкой переполнения буфера в драйвере PXE-Base Code, существующей 16 лет.
Дефект позволяет злоумышленникам с доступом к локальной сети выполнять произвольный код на этапе загрузки устройства. Отправляя ICMP-сообщения об ошибках размером более 504 байт, атакующий может повредить модуль UEFI и запустить вредоносный код на уровне привилегий CPU ring 0 до загрузки операционной системы.
Уязвимость выявили Алекс Матросов из Anthropic и Дэн Холмс из Google. Информация стала публичной после того, как компания AMI опубликовала исправление кода раньше запланированного срока. Проблема затрагивает серверы и оборудование, использующие сетевую загрузку, и не касается устройств, загружающихся исключительно с дисков.
Для реализации атаки требуется настройка под конкретную модель и конфигурацию устройства, так как злоумышленнику необходимо угадать адреса памяти. Несмотря на наличие патча, обновление прошивок UEFI на миллионах устройств от тысяч производителей является трудоемким процессом.
Компании Intel и Arm заявили, что их текущие коммерческие продукты не подвержены данной уязвимости напрямую, однако отметили, что сторонние производители оборудования могут использовать уязвимый код EDK2 в своих системах. Пользователям рекомендуется обращаться к вендорам за обновлениями.
