CVE-2026-29007

U-Boot w wersji przed 2026.10-rc5 zawiera przepełnienie bufora w funkcji nfs_readlink_reply() w net/nfs-common.c podczas przetwarzania odpowiedzi serwera NFS. Złośliwy serwer NFS może wysłać spreparowane odpowiedzi READLINK z ujemnymi lub zbyt dużymi wartościami długości dowiązania symbolicznego, aby uszkodzić pamięć i spowodować awarię bootloadera.

U-Boot w wersji przed 2026.10-rc5 zawiera przepełnienie bufora w funkcji nfs_read_reply() w net/nfs-common.c, które pozwala atakującym uszkodzić pamięć poprzez dostarczenie spreparowanych długości odpowiedzi NFS READ. Złośliwy serwer NFS może wykorzystać obsługę liczb całkowitych ze znakiem, aby obejść walidację długości i zapisać dane daleko poza buforem docelowym, powodując awarię bootloadera lub uszkodzenie pamięci.

U-Boot do wersji 2026.10-rc5 zawiera podatność zapisu poza granicami bufora w funkcji video_display_rle8_bitmap w drivers/video/video_bmp.c. Atakujący może dostarczyć spreparowany obraz BMP skompresowany RLE8, aby uszkodzić pamięć przylegającą do bufora ramki i spowodować awarię bootloadera.

U-Boot w wersji przed 2026.10-rc3 z włączoną opcją CONFIG_IP_DEFRAG zawiera podatność polegającą na zapisie poza granicami w funkcji __net_defragment() w net/net.c. Zdalni atakujący mogą wysłać spreparowany fragment IP z niezerowym offsetem i ustawioną flagą More-Fragments podczas netbootu, aby uszkodzić sąsiednią pamięć i spowodować awarię bootloadera.

W U-Boot występuje niekontrolowane pole długości, które może prowadzić do nadpisania pamięci. Implementacja DFU w U-Boot nie ogranicza pola długości w pakietach konfiguracyjnych USB DFU, co pozwala atakującemu na przesłanie pakietu z długością większą niż 4096 bajtów.

W Denx U-Boot przed 2026.04 odkryto problem. Podatność na przepełnienie liczby całkowitej istnieje w funkcji ext4fs_get_bgdtable, gdzie obliczenie rozmiaru może prowadzić do niedostatecznej alokacji, a ten niedostatecznie zaalokowany bufor jest używany w memcpy(), co może prowadzić do wykonania dowolnego kodu, denial of service lub innych nieokreślonych skutków.

W Denx U-Boot przed 2026.04 odkryto problem. Podatność na przepełnienie liczby całkowitej w obsłudze systemu plików ZFS może być wywołana przez nieprawidłowe metadane na dysku. Problem może prowadzić do nieprawidłowej alokacji pamięci, a następnie dostępu do pamięci poza zakresem, co może skutkować awarią lub wykonaniem dowolnego kodu podczas procesu bootowania.

U-Boot w wersji przed 2026.10-rc5 zawiera podatność polegającą na dostępie do pamięci poza granicami w funkcji dhcp6_parse_options(), która nie waliduje długości opcji SERVERID i CLIENTID w pakietach DHCPv6. Atakujący w sieci lokalnej może wysłać spreparowane pakiety DHCPv6 ADVERTISE lub REPLY podczas netbootu, aby uszkodzić pamięć i spowodować awarię bootloadera.

U-Boot w wersji przed 2026.10-rc5 zawiera podatność typu use-after-free w funkcji httpc_recv_cb() w implementacji wget lwIP. Gdy zapis danych HTTP nie powiedzie się, callback zwalnia PCB połączenia, ale zwraca ERR_BUF zamiast ERR_ABRT, co powoduje dostęp do zwolnionej pamięci w ścieżce wejściowej TCP i awarię bootloadera.

U-Boot przed 2026.10-rc3 zawiera podatność zapisu poza granicami bufora w funkcji read_slotted_partition(), która nie weryfikuje rozmiaru obrazu względem granic partycji. Atakujący z fizycznym dostępem może dostarczyć spreparowany nośnik rozruchowy z nadmiernie dużymi nagłówkami, aby zapisać dane poza buforem ładowania do pamięci bootloadera na urządzeniach bez ochrony Android Verified Boot.