CVE-2026-34961
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece barebox przed wersją 2026.04.0 umożliwia odczyt poza dozwolonym zakresem pamięci podczas parsowania systemu plików ext4. Brak walidacji pola eh_entries w stosunku do pojemności bufora w pliku fs/ext4/ext4_common.c pozwala atakującym na dostarczenie złośliwego obrazu ext4 przez USB, kartę SD lub rozruch sieciowy.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu danych poza przydzielonym buforem, co może prowadzić do ujawnienia wrażliwych informacji lub przekierowania odczytów na dowolne przesunięcia dysku podczas uruchamiania systemu.
Rekomendacja
Należy natychmiast zaktualizować barebox do wersji 2026.04.0 lub nowszej, która zawiera poprawki walidacji pól w parserze ext4.
Oryginalny opis (angielski, źródło NVD)
barebox prior to version 2026.04.0 contains out-of-bounds read vulnerabilities in ext4 extent parsing due to missing validation of the eh_entries field against buffer capacity in fs/ext4/ext4_common.c. Attackers can supply a malicious ext4 filesystem image via USB, SD card, or network boot to trigger heap out-of-bounds reads during boot-time filesystem parsing, potentially redirecting reads to arbitrary disk offsets.