Отдалечен уязвимост в UEFI фърмуерите на сървърите, експлоатирана чрез изпращане на ICMP пакет

В TianoCore EDK II (EFI Development Kit II), отворения еталонна реализация на UEFI, използвана в повечето сървърни дънни платки, е отстранена критична уязвимост (CVE-2026-97631). Уязвимостта е налице в драйвера PXE и може да бъде експлоатирана чрез изпращане на специално оформени ICMP пакети по време на мрежово зареждане в мрежи IPv4 или IPv6. Атаката не изисква автентикация и позволява на нападателя да изпълни свой код с привилегии на UEFI фърмуера на етапа преди предаването на управлението на операционната система, което може да бъде използвано за заобикаляне на механизма за верифицирано зареждане UEFI Secure Boot и подмяна на зловредни компоненти на етапа на зареждане.

Проблемът е предизвикан от препълване на буфера в обработчика на ICMP съобщения в драйвера UefiPxeBcDxe, който се използва за PXE зареждане и приема ICMP пакети по време на мрежовото зареждане за фиксиране на мрежови грешки. Препълването настъпва поради поставянето на получените съобщения за грешки в фиксиран буфер с размер 504 байта, без проверка на действителния размер на получените данни. При изпращане на повече от 504 байта в ICMP пакета, ненужният хвост се записва извън границите на буфера и препокрива следващите структури.

Атаката може да бъде проведена от глобалната мрежа — достатъчно е да знаете IP адреса на жертвата и да можете да определите момента на PXE зареждане. Знаейки коя точно фърмуер се използва на сървър жертвата, нападателят може да подготви експлоит, отчитайки разположението на структурите в паметта на конкретната версия на фърмуера и да експлоатира уязвимостта за изпълнение на код на ниво DXE (Driver Execution Environment), изпълнявано в нулевото защитно ниво.

Проектът EDK II е отворен през 2004 година от компанията Intel и се използва от всичките основни производители на фърмуер за сървърни системи, дата центрове и облачни доставчици. Сред другото, той се прилага във фърмуерите AMI, Insyde и Phoenix. Уязвимостите са налице и във фърмуерите на базата на платформата Mu от компанията Microsoft, която представлява клон на EDK II.

Проблема е открита от представителите на компаниите Anthropic и Google и е планирана за координирано публично разкриване през януари 2027 година. Но информацията трябваше да бъде публикувана по-рано, тъй като инженер от AMI случайно наруши ембаргото и публикува обществен pull-заявка с поправка, на базата на която можеше да се разбере същността на уязвимостта.

Източник: opennet.ru