Ungepatchte kritische Schwachstellen in U-Boot Bootloader für eingebettete Geräte bekannt gegeben

  • Cybersecurity-Forscher haben zwei ungepatchte Sicherheitslücken im Open-Source-Bootloader U-Boot aufgedeckt.

    Die Schwachstellen, die in dem von der NCC Group in U-Boot implementierten IP-Defragmentierungsalgorithmus aufgedeckt wurden, könnten missbraucht werden, um beliebige Out-of-bounds-Schreiboperationen und Denial-of-Service (DoS) durchzuführen.

    U-Boot ist ein Bootloader, der in Linux-basierten eingebetteten Systemen wie ChromeOS sowie in E-Book-Readern wie Amazon Kindle und Kobo eReader verwendet wird.

    [Blocked Image: https://thehackernews.com/new-images/img/b/R29vZ2xl/AVvXsEjs4_qytN4g_voTT8EnYjXf1exVDRaJAFCbNDgniqiJGlOEIxqyqhdyepXuEycqrdL2O8Kr9N1ECYeAOpkm3SjCEZ3v4qkn2U35_5ruG01Jl6vd63zdMh5L62awds2UV50QyzEtSbzrTrWmYwmbBHxi4Tgjz-VueHJyMj-Wq40R--saAZfQBzuZQpWkIw/s1600/Bitbucket-ads.png]

    Die Themen sind im Folgenden zusammengefasst.

    • CVE-2022-30790 (CVSS-Score: 9.6) – Das Überschreiben des Hole Descriptor in der U-Boot IP-Paket-Defragmentierung führt zu einem beliebigen Out-of-bounds-Schreibprimitiv.
    • CVE-2022-30552 (CVSS-Score: 7.1) – Großer Pufferüberlauf führt zu DoS in U-Boot IP-Paket-Defragmentierungscode

    Es ist erwähnenswert, dass beide Schwachstellen nur über das lokale Netzwerk ausgenutzt werden können. Dadurch kann ein Angreifer jedoch die Geräte rooten und einen DoS auslösen, indem er ein missgebildetes Paket erstellt.

    Es wird erwartet, dass die Schwachstellen von den U-boot-Maintainern in einem bevorstehenden Patch behoben werden, woraufhin den Benutzern empfohlen wird, auf die neueste Version zu aktualisieren.

    Fanden Sie diesen Artikel interessant? Folgen Sie THN auf Facebook, Twitter und LinkedIn, um weitere exklusive Inhalte zu lesen, die wir veröffentlichen.

    Einige Teile dieses Artikels stammen aus:
    thehackernews.com