Шесть уязвимостей в драйверах PEAK-System PCAN для Windows позволяют локальному пользователю вызвать отказ в обслуживании, то есть добиться аварийного останова ядра операционной системы. Проблемы затрагивают сборки драйверов до 5.1.2 включительно и установщик PEAK-System Device Driver Setup до 5.1.2.1151. Удалённая эксплуатация невозможна: для атаки нужен доступ к системе и учётная запись, дающая право работать с устройством. Публичных эксплойтов CISA не фиксирует.
Переполнение буфера и непроверенные указатели в драйверах PCAN
Бюллетень опубликован 20 октября 2026 года. Уязвимости нашёл исследователь Seyeon Bang и передал данные в CISA. Пять проблем получили 5.5 балла по CVSS 3.1, это средний уровень; одна, CVE-2026-103672, оценена в 7.1 и отнесена к высокому уровню. Вторая заметная проблема - CVE-2026-101103. Обе связаны с обработкой данных, которые приложение передаёт драйверу.
Драйверы PCAN обслуживают адаптеры шины CAN (Controller Area Network), которую используют для обмена данными между электронными блоками в автомобилях, на конвейере и в промышленных установках. Такой драйвер работает с привилегиями ядра, поэтому ошибка в разборе входных данных роняет не отдельную программу, а всю машину. Восстановление требует перезагрузки, а на промышленном объекте остановка узла означает простой линии или потерю связи с оборудованием.
Механика дефектов сводится к повреждению памяти. Запись за границами буфера и переполнение буфера при копировании записей дают возможность испортить соседние структуры ядра. Отсутствие проверки размера выходного буфера и несогласованная обработка параметра длины позволяют копировать больше данных, чем подготовил вызывающий код. Индекс массива выбирается по длине поля данных без ограничения сверху, а указатель на объект разыменовывается без проверки. В результате возникает падение системы, а не выполнение произвольного кода.
Практический сценарий выглядит так. Вредоносная программа или недоверенный пользователь на машине с адаптером PCAN отправляет драйверу специально сформированный запрос и вызывает синий экран. Повышения привилегий для этого не требуется, достаточно прав, которые уже есть у локальной учётной записи. Для атакующего такой приём полезен как способ сорвать работу оператора или скрыть другие действия за перезагрузкой.
Затронуты отрасли, где PCAN применяют для диагностики и управления: транспортные системы, здравоохранение, энергетика, критическая промышленность. Устройства распространены по всему миру, головной офис HMS Networks расположен в Швеции. Сетевой доступ к адаптерам атакующим не нужен, зато он опасен сам по себе: открытый из интернета промышленный узел расширяет поверхность атаки, даже если конкретно эти уязвимости эксплуатируются только локально.
HMS Networks закрыла проблемы в версии 5.1.4. Обновление доступно на странице загрузок PEAK-System, подробности приведены в отдельном бюллетене вендора. После установки новой версии стоит проверить, что старый драйвер не остался в системе: замена файлов драйвера иногда требует перезагрузки, и до неё уязвимый код продолжает работать.
Организациям с изолированными сетями CISA рекомендует не выставлять устройства управления напрямую в интернет, размещать их за межсетевым экраном и отделять от корпоративной сети. Если удалённый доступ всё же нужен, используют VPN и поддерживают его в актуальном состоянии. Перед внедрением защитных мер CISA советует оценить влияние на технологический процесс.
История с PCAN показывает устойчивую закономерность. Основная масса проблем в драйверах устройств связана с проверкой размеров и указателей, а исправления выходят с задержкой относительно самого драйвера. Для операторов промышленных систем это означает, что обновление прошивок и драйверов приходится планировать так же строго, как и обновление серверного ПО, иначе локальная ошибка в коде обмена данными превращается в отказ оборудования.
Ссылки
