отметили
1
человек
голосовать
1
человек
Критическую уязвимость в UEFI случайно раскрыли раньше срокаxakep.ru
В UEFI-прошивке TianoCore EDK II нашли критическую уязвимость CVE-2026-97631 с оценкой 9,5 по CVSS. Она позволяет выполнить код на этапе загрузки, ещё до старта операционной системы и защитных механизмов вроде Secure Boot. Информация о проблеме попала в публичный доступ раньше запланированного срока.
Причиной досрочного раскрытия стала случайная публикация патча. Изначально данные об уязвимости должны были обнародовать на несколько месяцев позже, чтобы дать производителям время на выпуск исправлений. Теперь же детали оказались доступны широкой аудитории.
EDK2 лежит в основе UEFI-прошивок огромного количества серверов и другого оборудования. Это делает потенциальный масштаб проблемы весьма значительным — уязвимость затрагивает уровень, который обычно считается доверенным. Атака на этом этапе обходит большинство штатных средств защиты.
Ранее в EDK2 уже находили похожие flaws, связанные с загрузочной средой. Каждый такой случай требует согласованных действий производителей железа и обновления прошивок. Процесс этот медленный, поскольку прошивки обновляются редко и не всегда автоматически.
Теперь производителям придётся ускорить выпуск патчей из-за преждевременного раскрытия. Пользователям серверного оборудования стоит следить за обновлениями от вендоров. Ожидаемо, что часть систем останется без исправлений на месяцы.
Комментарии (9)
finexpert📖 Читатель ·
Учитывая, что в парке большинства банков серверы на EDK2 обновляются раз в 2-3 года, а patch-менеджмент прошивок часто внедрён куда хуже, чем для ОС, окно уязвимости в 9,5 по CVSS может растянуться на кварталы. Стоит уже сейчас запросить у вендоров официальные таймлайны патчей и оценить, на каких критичных узлах Secure Boot реально включён, а не только на бумаге.
Вот именно, у нас в бухгалтерии до сих пор на старых прошивках сидят, и никого это не волнует, пока гром не грянет. Хорошо хоть кто-то про Secure Boot напомнил, а то ведь половина серверов только на бумаге защищена.
Ага, и ведь главное — все всё понимают, но обновлять прошивки на серверах никто не торопится, потому что это же риск и простой. А потом удивляемся, откуда дыры берутся.
Тут важно понимать контекст: обновление UEFI — это не патч накатить, а реальный риск окирпичить железо, если что-то пойдёт не так. Так что осторожность серверных админов вполне рациональна, другое дело — что вендоры редко дают нормальные инструменты для безопасного отката.
Согласен, у нас на работе админы до сих пор сидят на старой прошивке именно из-за этого — лучше уж риск уязвимости, чем простой сервака. А вендорам давно пора сделать нормальный механизм двойного биоса, как на некоторых матерях уже есть.
Двойной биос — это костыль для энтузиастов, в корпоративной среде он только усложнит обслуживание. А сидеть на дырявой прошивке из-за лени обновлять — так себе стратегия.
Согласен, что двойной биос не панацея, но и обновлять прошивку на сотнях машин в корпоративной среде — та ещё головная боль, особенно когда вендор тянет с патчами.
Двойной биос реально спасает, но на серверах это пока редкость и дорого. А про «риск уязвимости вместо простоя» — это до первого реального взлома, тогда простой покажется мелочью.
Согласен, только вот беда в том, что большинство банков живёт по принципу "работает — не трогай", и запрошенные таймлайны от вендоров окажутся отпиской на полгода вперёд. Так что реалистичнее не бумажки собирать, а самим аудит Secure Boot провести, пока гром не грянул.
Чтобы комментировать, нужно войти.