Суть угрозы в том, что драйвер PXE, отвечающий за загрузку сервера по сети, некорректно обрабатывает ICMP-сообщения. Это может позволить злоумышленнику повредить память и выполнить произвольный код ещё до запуска операционной системы и её защитных механизмов. Но, как пояснил Андрей Жданухин, это не значит, что любой сервер можно атаковать удалённо: для эксплуатации устройство должно загружаться по сети через PXE, а атакующий должен успеть отправить специально сформированные ICMP-пакеты в нужный момент.
«Ошибка переполнения буфера в сетевом драйвере PXE из проекта EDK II позволяет потенциально выполнить произвольный код на этапе загрузки сервера — ещё до запуска операционной системы и её защитных механизмов», — отметил эксперт.
«Наибольшую обеспокоенность вызывает возможность выполнения кода на уровне UEFI, что создаёт предпосылки для внедрения вредоносных компонентов, работающих до загрузки ОС», — добавил он.
По словам Жданухина, организациям стоит проверить, где используются EDK II и PXE, уточнить у производителей доступность обновлений BIOS/UEFI и временно отключить сетевую загрузку там, где она не нужна. Для проактивного поиска угроз важно анализировать сетевую активность в сегментах загрузки, выявлять подозрительные ICMP-пакеты и сопоставлять их с событиями загрузки и изменениями состояния серверов. При этом стандартные средства мониторинга ОС могут не увидеть выполнение кода на уровне прошивки, поэтому особое значение имеют инвентаризация оборудования, контроль целостности и проверка механизмов доверенной загрузки.
«Для SOC компании "Газинформсервис" (GSOC) подобные угрозы подчёркивают необходимость учитывать не только операционные системы и прикладное ПО, но и прошивки серверов в модели защищённости инфраструктуры», — заключил Андрей Жданухин. Он также отметил, что поддержку на этом уровне может оказать продукт «Газинформсервиса» SafeNode System Loader — средство доверенной загрузки, контролирующее неизменность UEFI и целостность состава его модулей.
