CVE-2026-34962
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w systemie barebox przed wersją 2026.04.0 umożliwia atak DoS poprzez specjalnie spreparowany obraz systemu plików ext4. Funkcja ext4fs_iterate_dir() nie sprawdza, czy długość wpisu katalogu jest różna od zera, co może prowadzić do nieskończonej pętli podczas wyświetlania katalogów lub rozwiązywania ścieżek.
Ocena ryzyka
Atakujący może dostarczyć złośliwy obraz ext4, który spowoduje zawieszenie procesu uruchamiania systemu, uniemożliwiając normalne działanie urządzenia.
Rekomendacja
Należy zaktualizować system barebox do wersji 2026.04.0 lub nowszej, która zawiera poprawkę walidującą długość wpisów katalogu.
Oryginalny opis (angielski, źródło NVD)
barebox version prior to 2026.04.0 contains a denial-of-service vulnerability in ext4 directory parsing in fs/ext4/ext4_common.c where the ext4fs_iterate_dir() function fails to validate that directory entry length values are non-zero. Attackers can supply a malicious ext4 filesystem image with a crafted directory entry containing a direntlen value of 0 to cause an infinite loop during directory listing or path resolution, resulting in the boot process hanging indefinitely.