Критичен дефект в отворения код на фърмуера EDK II позволява на отдалечен атакуващ да изпълни код на машина преди стартирането на операционната система. Уязвимостта се проследява като CVE-2026-97631. Тя се намира в драйвера за мрежово зареждане (PXE) и е получила CVSS v4 оценка от 9.5.

Бюлетинът посочва пакета NetworkPkg в основния клон (master) на EDK II към 14 септември 2026 г. EDK II е референтният код, който много производители на фърмуер използват за изграждане на UEFI фърмуер, поради което проблемът може да засегне сървъри, настолни компютри и лаптопи, които зареждат през мрежата.

UEFI уязвимост без налична корекция за сигурност

На страницата на бюлетина все още пише „В момента няма корекция“, въпреки че поправката вече е внедрена в публичния код. Сега производителите трябва да включат това отстраняване на уязвимостта в своите собствени фърмуерни обновления, което обикновено отнема много повече време.

По време на PXE зареждане драйверът с име UefiPxeBcDxe следи за ICMP съобщения за грешка от мрежата. Той копира всяко съобщение във фиксирано поле от 504 байта. Кодът за копиране проверява размерите неефективно както в IPv4, така и в IPv6 обработчиците. При съобщение, по-дълго от 504 байта, той продължава да копира въпреки това. Също така той премества позицията за запис напред с общата дължина до момента, вместо с дължината на текущия фрагмент. По този начин контролираните от атакуващия байтове попадат отвъд границите на полето. Нищо по-рано по пътя на приемане не ограничава размера на съобщението.

За атакуващия не са необходими вход в системата или потребителско действие. Достатъчно е да изпрати само едно ICMP съобщение за грешка, адресирано до IP адреса на клиента, докато той извършва PXE зареждане. Съобщението може да дойде от произволно разстояние в мрежата. Прозорецът на уязвимост продължава толкова дълго, колкото трае самото PXE зареждане.

Щетите се проявяват в две форми. По-простата е срив на системата. Следващата ICMP грешка предизвиква изключение на процесора в DXE ядрото и процесът на зареждане увисва. Това блокира инсталирането и възстановяването на операционната система. По-тежката форма изисква по-задълбочени познания. Атакуващ, който знае точната компилация на фърмуера, може да внедри фалшиво събитие в същия пакет. Тогава фърмуерът изпълнява байтовете на атакуващия с най-високото ниво на привилегии, преди Secure Boot или премерването на зареждането да са проверили каквото и да било.

Сървърите са изложени на най-голям риск, тъй като центровете за данни често разчитат на PXE за масово инсталиране и преконфигуриране на машини. Инструментите, които работят при всеки цикъл на преинсталиране, дават на киберпрестъпниците многократни възможности за атака.

Пропуски в сигурността на UEFI

Откритието допълва поредица от проблеми в сигурността на фърмуера, включващи код за мрежово зареждане, доверени ключове за подписване и дори изображенията, показвани при стартиране на компютъра. Тези уязвимости имат различни входни точки, но споделят общ проблем: атакуващите могат да се насочат към код, който се изпълнява преди стандартните защити на операционната система да поемат контрола.

Един пример е PKfail – проблем във веригата за доставки на фърмуер, причинен от производители на устройства, доставящи продукти с тестови Platform Keys, които никога не е трябвало да се използват като доверени в производствена среда. Тези ключове помагат за контрола на веригата на доверие в Secure Boot.

Атакуващ, който се сдобие със съответния частен ключ, може да го използва за подмяна на надеждните настройки за зареждане и да позволи стартирането на злонамерен софтуер, въпреки активирания Secure Boot. Cyber Security News по-рано отрази как PKfail засегна над 200 модела устройства, докато бюлетинът на CERT/CC обяснява риска от постоянен зловреден софтуер в засегнатите системи.

Друг пример, LogoFAIL, разкри слабости в кода, който прочита логото на производителя при стартиране. Специално създадено изображение може да предизвика изпълнение на код по време на фазата Driver Execution Environment (DXE). Това е същият ранен етап от работата на фърмуера, към който е насочена и новоразкритата уязвимост в PXE, макар и начинът на доставяне да е различен. Както се посочва подробно в материалите на Cyber Security News за LogoFAIL, дефектите са засегнали кода за четене на изображения при няколко различни производители на фърмуер.

PixieFail предоставя още по-близко сравнение. Оповестена през януари 2024 г., тя включваше девет уязвимости в IPv6 мрежовия стек на TianoCore EDK II. Тези слабости засегнаха операциите по мрежово зареждане, използвани в центрове за данни и корпоративни среди.

Поправката е pull request 13302. Тя добавя коректни проверки на границите и поправя аритметиката на указателите. Твърде големите ICMP съобщения вече се отрязват веднага щом буферът се запълни. Корекцията за сигурност също така изчиства буфера преди всяко копиране, за да не остават стари байтове от предишна грешка. Добавени са и модулни тестове, които са се проваляли преди промяната и преминават успешно след нея. Поддържащите проекта я внедриха на 15 октомври 2026 г.

Внедряването беше публично дни преди появата на официалния бюлетин на 22 октомври. Поддържащ кода по-късно призна, че ембаргото е било нарушено по погрешка и pull request-ът е бил отворен публично. Той призова изследователите да продължат да използват поверителните бюлетини на GitHub за координирано разкриване. Той също така спомена, че съществува натрупване от чакащи доклади. Бюлетинът отдава признание на Алекс Матросов от Anthropic и Дан Холмс-Митра от Google за откриването на уязвимостта и предлагането на поправката.

Попитайте доставчиците на вашите сървъри и фърмуер кога ще пуснат обновление с тази корекция за сигурност. Дотогава ограничете риска, като изолирате трафика за PXE зареждане в отделни мрежи за първоначално разгръщане. Блокирайте неочаквани ICMP съобщения за грешка, насочени към зареждащи се машини, и изключете PXE на системи, които нямат нужда от него. Екипите трябва също да прегледат насоките на CISA и NSA за Secure Boot за по-широко укрепване на защитата.