Podatności U-Boot

U-Boot w wersji przed 2026.10-rc5 zawiera przepełnienie bufora w funkcji nfs_readlink_reply() w net/nfs-common.c podczas przetwarzania odpowiedzi serwera NFS. Złośliwy serwer NFS może wysłać spreparowane odpowiedzi READLINK z ujemnymi lub zbyt dużymi wartościami długości dowiązania symbolicznego, aby uszkodzić pamięć i spowodować awarię bootloadera.

U-Boot w wersji przed 2026.10-rc5 zawiera przepełnienie bufora w funkcji nfs_read_reply() w net/nfs-common.c, które pozwala atakującym uszkodzić pamięć poprzez dostarczenie spreparowanych długości odpowiedzi NFS READ. Złośliwy serwer NFS może wykorzystać obsługę liczb całkowitych ze znakiem, aby obejść walidację długości i zapisać dane daleko poza buforem docelowym, powodując awarię bootloadera lub uszkodzenie pamięci.

U-Boot do wersji 2026.10-rc5 zawiera podatność zapisu poza granicami bufora w funkcji video_display_rle8_bitmap w drivers/video/video_bmp.c. Atakujący może dostarczyć spreparowany obraz BMP skompresowany RLE8, aby uszkodzić pamięć przylegającą do bufora ramki i spowodować awarię bootloadera.

U-Boot w wersji przed 2026.10-rc3 z włączoną opcją CONFIG_IP_DEFRAG zawiera podatność polegającą na zapisie poza granicami w funkcji __net_defragment() w net/net.c. Zdalni atakujący mogą wysłać spreparowany fragment IP z niezerowym offsetem i ustawioną flagą More-Fragments podczas netbootu, aby uszkodzić sąsiednią pamięć i spowodować awarię bootloadera.

W U-Boot występuje niekontrolowane pole długości, które może prowadzić do nadpisania pamięci. Implementacja DFU w U-Boot nie ogranicza pola długości w pakietach konfiguracyjnych USB DFU, co pozwala atakującemu na przesłanie pakietu z długością większą niż 4096 bajtów.

W Denx U-Boot przed 2026.04 odkryto problem. Podatność na przepełnienie liczby całkowitej istnieje w funkcji ext4fs_get_bgdtable, gdzie obliczenie rozmiaru może prowadzić do niedostatecznej alokacji, a ten niedostatecznie zaalokowany bufor jest używany w memcpy(), co może prowadzić do wykonania dowolnego kodu, denial of service lub innych nieokreślonych skutków.

W Denx U-Boot przed 2026.04 odkryto problem. Podatność na przepełnienie liczby całkowitej w obsłudze systemu plików ZFS może być wywołana przez nieprawidłowe metadane na dysku. Problem może prowadzić do nieprawidłowej alokacji pamięci, a następnie dostępu do pamięci poza zakresem, co może skutkować awarią lub wykonaniem dowolnego kodu podczas procesu bootowania.

U-Boot w wersji przed 2026.10-rc5 zawiera podatność polegającą na dostępie do pamięci poza granicami w funkcji dhcp6_parse_options(), która nie waliduje długości opcji SERVERID i CLIENTID w pakietach DHCPv6. Atakujący w sieci lokalnej może wysłać spreparowane pakiety DHCPv6 ADVERTISE lub REPLY podczas netbootu, aby uszkodzić pamięć i spowodować awarię bootloadera.

U-Boot w wersji przed 2026.10-rc5 zawiera podatność typu use-after-free w funkcji httpc_recv_cb() w implementacji wget lwIP. Gdy zapis danych HTTP nie powiedzie się, callback zwalnia PCB połączenia, ale zwraca ERR_BUF zamiast ERR_ABRT, co powoduje dostęp do zwolnionej pamięci w ścieżce wejściowej TCP i awarię bootloadera.

U-Boot przed 2026.10-rc3 zawiera podatność zapisu poza granicami bufora w funkcji read_slotted_partition(), która nie weryfikuje rozmiaru obrazu względem granic partycji. Atakujący z fizycznym dostępem może dostarczyć spreparowany nośnik rozruchowy z nadmiernie dużymi nagłówkami, aby zapisać dane poza buforem ładowania do pamięci bootloadera na urządzeniach bez ochrony Android Verified Boot.

U-Boot przed 2026.10-rc4 zawiera podatność przepełnienia liczb całkowitych w funkcji sqfs_read_directory_table() podczas alokacji bufora tablicy katalogów. Atakujący może dostarczyć spreparowany obraz SquashFS z kontrolowaną wartością metablks_count w superbloku, co powoduje niedostateczną alokację bufora sterty i zapisy poza granicami, uszkadzając pamięć sterty i powodując awarię bootloadera.

U-Boot przed wersją 2026.07-rc2 zawiera podatność na przepełnienie bufora w funkcji nfs_readlink_reply() (net/nfs-common.c) przy włączonym CONFIG_CMD_NFS, co pozwala złośliwemu lub skompromitowanemu serwerowi NFS na przepełnienie 2048-bajtowego bufora nfs_path_buff poprzez zwrócenie wielu względnych celów dowiązań symbolicznych bez walidacji skumulowanej długości.

Podatność w U-Boot do wersji 2026.04-rc3 w funkcji tcp_rx_state_machine() w net/tcp.c. Wysyłanie spreparowanego pakietu TCP SYN+ACK z manipulowanym polem data offset powoduje niedomiar liczby całkowitej, co prowadzi do awarii bootloadera i potencjalnego uszkodzenia pamięci.

W U-Boot do wersji 2026.04-rc3 włącznie występuje podatność na odczyt poza zakresem w funkcji tcp_rx_state_machine() (net/tcp.c) przy włączonym CONFIG_PROT_TCP. Zdalny atakujący może wysłać spreparowany pakiet z niezgodną długością całkowitą IP i polem przesunięcia danych TCP, powodując odczyt poza granicami segmentu TCP i potencjalne zakłócenie stanu połączenia.

W komponencie U-Boot urządzenia GNCC GP5 v7.1.76 fizycznie bliski atakujący może ominąć uwierzytelnianie i uzyskać dostęp root poprzez przerwanie sekwencji rozruchowej i wstrzyknięcie spreparowanego ciągu do argumentów jądra.

W funkcji append_uint32_le() w U-Boot występuje możliwość wstrzyknięcia błędu (fault injection) z powodu błędu logicznego w kodzie. Może to prowadzić do fizycznego podniesienia uprawnień bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.