CVE-2026-34963
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W bootloaderze barebox przed wersją 2026.04.0 wykryto wiele podatności bezpieczeństwa pamięci w ładowarce EFI PE (plik efi/loader/pe.c). Błąd przepełnienia liczby całkowitej przy obliczaniu rozmiaru wirtualnego obrazu oraz brak walidacji wskaźnika PointerToRawData prowadzą do zbyt małej alokacji sterty i odczytu poza jej granicami. Atakujący może dostarczyć złośliwy plik EFI PE przez TFTP, USB, kartę SD lub rozruch sieciowy, co może skutkować przepełnieniem bufora sterty i potencjalnym wykonaniem kodu w kontekście bootloadera.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad procesem rozruchu urządzenia poprzez dostarczenie spreparowanego pliku EFI PE. Może to prowadzić do uruchomienia złośliwego kodu jeszcze przed załadowaniem systemu operacyjnego, co umożliwia trwałe naruszenie integralności systemu i ominięcie mechanizmów bezpieczeństwa.
Rekomendacja
Należy niezwłocznie zaktualizować bootloader barebox do wersji 2026.04.0 lub nowszej, która zawiera poprawki dla tych podatności. W międzyczasie zaleca się ograniczenie dostępu do źródeł rozruchu (TFTP, USB, SD, sieć) tylko do zaufanych urządzeń.
Inne podatności w barebox
Zobacz wszystkie- CVE-2026-34962Średnie
Podatność w systemie barebox przed wersją 2026.04.0 umożliwia atak DoS poprzez specjalnie spreparowany obraz systemu plików ext4. Funkcja ext4fs_iterate_dir() nie sprawdza, czy długość wpisu katalogu jest różna od zera, co może prowadzić do nieskończonej pętli podczas wyświetlania katalogów lub rozwiązywania ścieżek.
- CVE-2026-34961Średnie
Podatność w bibliotece barebox przed wersją 2026.04.0 umożliwia odczyt poza dozwolonym zakresem pamięci podczas parsowania systemu plików ext4. Brak walidacji pola eh_entries w stosunku do pojemności bufora w pliku fs/ext4/ext4_common.c pozwala atakującym na dostarczenie złośliwego obrazu ext4 przez USB, kartę SD lub rozruch sieciowy.
- CVE-2026-34960Średnie
W bibliotece barebox przed wersją 2026.04.0 wykryto podatność na odczyt poza dozwolonym zakresem w funkcji dhcp_message_type() podczas parsowania opcji DHCP. Brak weryfikacji, czy wskaźnik opcji pozostaje w granicach odebranego pakietu, umożliwia atakującemu w tej samej domenie rozgłoszeniowej wysłanie spreparowanego pakietu DHCP Offer lub ACK bez znacznika końca 0xff, co może doprowadzić do odczytu poza danymi pakietu i potencjalnie do awarii systemu.
Oryginalny opis (angielski, źródło NVD)
barebox version prior to 2026.04.0 contains multiple memory-safety vulnerabilities in the EFI PE loader in efi/loader/pe.c where integer overflow in virtual image size computation using 32-bit arithmetic on section VirtualAddress and size values allows undersized heap allocation, and PE section loading logic fails to validate that PointerToRawData plus copied size remains within the PE file buffer. An attacker can supply a malicious EFI PE binary via TFTP, USB, SD card, or network boot to trigger heap buffer overflow or out-of-bounds read from heap memory, potentially achieving code execution in bootloader context.