Новости CVE
CVE-2026-97631: критическая уязвимость в EDK II угрожает UEFI-прошивкам серверов
Опубликована CVE-2026-97631 с оценкой CVSS 9.5. Уязвимость в драйвере PXE EDK II даёт возможность переполнения буфера в фазе DXE.
CVE-2026-97631 опубликована 22 октября 2026 года. Уязвимость затрагивает TianoCore EDK II — эталонную реализацию UEFI, используемую в прошивках серверов. Оценка CVSS 4.0 составила 9,5 балла.
Технические детали переполнения буфера в PXE
Проблема находится в модуле NetworkPkg/UefiPxeBcDxe. При обработке ICMP-сообщений об ошибках в обработчиках PxeBcIcmpErrorDpcHandle и PxeBcIcmp6ErrorDpcHandle драйвер копирует данные в поле Mode.IcmpError объёмом 504 байта без проверки границ. Переполнение происходит при получении oversized unicast ICMP-сообщения во время IPv4 или IPv6 PXE-загрузки.
Результат — перезапись смежных областей памяти DXE-фазы. Атакующий без аутентификации может вызвать зависание загрузки или, зная точную сборку прошивки, выполнить произвольный код на уровне кольца 0 до старта операционной системы и до срабатывания Secure Boot.
Код уязвимости присутствует в EDK II с примерно 2010 года и сохранялся во всех версиях до edk2-stable202608 включительно. Исправление объединено в master 15 октября 2026 года (PR #13302), но стабильных тегов с патчем пока нет.
Затронутые платформы и текущий статус исправлений
EDK II лежит в основе прошивок AMI, Insyde, Phoenix и Microsoft Project Mu. PXE-загрузка часто включена по умолчанию в дата-центрах и сетях provisioning. Intel не зафиксировала уязвимых коммерческих продуктов под поддержкой, однако OEM-производители серверов могут интегрировать уязвимый код самостоятельно. Arm-платформы напрямую не затрагиваются.
Microsoft Project Mu получила исправление в конце октября. Производители серверов Dell, HPE, Supermicro, Lenovo, а также дистрибутивы Red Hat, Debian и SUSE пока только отмечают наличие уязвимости без доступных обновлений UEFI/BIOS. Организациям рекомендуется отслеживать бюллетени вендоров и отключать сетевую загрузку до появления патчей, где это возможно.
По данным на 1 ноября 2026 года подтверждённых случаев эксплуатации не зарегистрировано. CVE не включена в списки CISA KEV, а российские регуляторы пока не опубликовали записи в БДУ ФСТЭК.
Частые вопросы
Какая оценка уязвимости CVE-2026-97631?
CVSS 4.0 присвоил 9,5 балла. Уязвимость классифицирована как критическая из-за возможности удалённого выполнения кода в DXE-фазе без аутентификации.
Какие версии EDK II затронуты?
Уязвимость присутствует во всех версиях до edk2-stable202608. Исправление доступно в master-ветке с 15 октября 2026 года.
Можно ли отключить PXE для снижения риска?
Отключение сетевой загрузки в BIOS/UEFI снижает поверхность атаки до выхода обновлений прошивки от производителей серверов.
Есть ли подтверждённые случаи эксплуатации?
На 1 ноября 2026 года подтверждённых инцидентов эксплуатации CVE-2026-97631 не зафиксировано.
Комментарии
Комментариев пока нет. Будьте первым!