Security Week 2645: уязвимость в UEFI при загрузке по сети

На прошлой неделе исследователи из компаний Google и Anthropic сообщили об обнаружении серьезной уязвимости в большинстве имплементаций загрузчика UEFI. Уязвимость с индексом CVE-2026-97631 приводит к повреждению памяти и в некоторых случаях может быть задействована для выполнения произвольного кода.

Несмотря на присутствие уязвимого кода практически во всех загрузчиках современных ПК, у проблемы есть одно важное ограничение: задействовать уязвимость можно только при загрузке по сети. Ошибка в коде соответствующего драйвера присутствует уже 16 лет. Во время сетевой загрузки обеспечивается прием сообщений об ошибках по протоколу ICMP, которые записываются в буфер фиксированного размера (504 байта). Отправка подготовленного сообщения позволяет записать данные за пределы буфера, что в итоге и приводит к выполнению вредоносного кода с максимальными привилегиями, задолго до загрузки операционной системы.

Уязвимость изначально присутствовала в TianoCore EDK II — открытом репозитории, фрагменты которого используются в большом количестве реализаций UEFI, включая популярные загрузчики компаний AMI, Insyde и Phoenix. Непропатченный UEFI в системе, загружающейся по протоколу PXE, теоретически может быть атакован злоумышленником, который уже находится в локальной сети. Большое разнообразие вариантов UEFI означает, что даже в случае успешной эксплуатации уязвимости у атакующего не будет универсального способа развить атаку. Успех атаки зависит от понимания, какая именно версия UEFI работает на целевой системе. Все эти ограничения делают уязвимость менее опасной, чем, например, выявленная ранее проблема PKFail, когда во множестве загрузчиков UEFI были обнаружены дефолтные ключи для Secure Boot.

Что еще произошло

В конце октября прошла ежегодная конференция Security Analyst Summit «Лаборатории Касперского». Один из докладов на мероприятии был посвящен обходу изоляции в облачной инфраструктуре. Еще одна свежая публикация разбирает кейс вредоносной кампании с использованием C2-агентов, управляемых искусственным интеллектом. А это исследование разбирает обнаруженную экспертами «Лаборатории Касперского» уязвимость в IP-камерах Intelbras, приводящую к отказу в обслуживании.

Громкая новость прошлой недели — взлом криптобиржи Binance (подробный обзор на Хабре). По предварительным данным, взлом биржи с последовавшей кражей средств в криптовалюте стал возможен благодаря компрометации ноутбука одного из инженеров компании.

Критическая уязвимость HTTP2Shell обнаружена в библиотеке Brotli, использующейся в том числе в Node.js.

Уязвимость CVE-2026-98432 в ядре Linux относится к реализации протокола TCP и имеет почти максимальный рейтинг опасности 9,8 балла из 10. Проблема может приводить к отказу в обслуживании</a> или даже выполнению произвольного кода.

Аппаратные криптокошельки Ledger оказались не единственной целью атаки supply chain, о которой мы сообщали ранее. На прошлой неделе стало известно, что устройства компании Trezor, распространяемые тем же малайзийским дистрибьютором CryptoBilis, также могли оснащаться шпионским аппаратным имплантом.

Серьезная уязвимость закрыта в ПО TeamViewer. Интересной особенностью этой проблемы является то, что она может быть использована для атаки на управляющий ПК при подключении к подготовленной управляемой системе.

В октябрьском наборе патчей для Android закрыта уязвимость, вызывающая отказ в обслуживании путем отправки единственного короткого сообщения.

Исследователь из компании Socket обнаружил 264 расширения для браузера Chrome, перехватывающие поисковый трафик пользователя. Вместе с другими вредоносными расширениями, обнаруженными тем же исследователем ранее, потенциальными жертвами данной кампании являются более 13 миллионов пользователей.