Bootloader U-Boot: Sicherheitslücken ermöglichen Umgehen der Chain-of-Trust

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Im Universal Boot Manager U-Boot haben IT-Sicherheitsforscher mehrere Sicherheitslücken entdeckt. Sie ermöglichen Angreifern, die Vertrauenskette (Chain of Trust) zu unterlaufen und beliebigen Code einzuschleusen und auszuführen. Aktualisierte Software steht bereit, die die Schwachstellen ausbessert. U-Boot kommt insbesondere in Linux-basierten Embedded-Systemen zum Einsatz, etwa in Android-Geräten, aber auch in E-Book-Readern.

In einer Mail an die OSS-Security-Mailingliste listen die Entdecker die Sicherheitslücken auf. Insgesamt sechs Sicherheitslecks wurden aufgespürt. Durch sie können Angreifer mit der Möglichkeit, ext4- oder SquashFS-Dateisystemstrukturen zu verändern, mehrere Probleme in der Speicherverwaltung ausnutzen. "Auf Systemen, die auf einen verifizierten Boot-Prozess setzen, ermöglichen diese Lücken Angreifern, die Chain of Trust zu umgehen und eigenen Code auszuführen", erklären die Entdecker. Eine der Lücken (CVE-2024-57258) ermöglicht das zudem mit anderen Subsystemen als ext4 oder SquashFS.

U-Boot: Update stopft Sicherheitslücken

Die Sicherheitslecks betreffen U-Boot-Bootloader bis einschließlich Version 2024.10. Derzeit steht U-Boot 2025.01-rc1 als neuere Fassung zur Verfügung, die diese Schwachstellen ausbessert.

Die aktualisierten Quellen sind im Projekt-Repository von U-Boot zu finden. Projekte, die auf den U-Boot-Bootloader setzen, dürften in Kürze aktualisierte Bootloader anbieten. Diese sollten Betroffene zeitnah installieren.

Die Sicherheitslücken sind im Einzelnen:

• Heap corruption in U-Boot’s SquashFS directory listing function CVE-2024-57259, CVSS 7.1, Risiko "hoch"
• Multiple integer overflows in U-Boot’s memory allocator CVE-2024-57258, CVSS 7.1, hoch
• Integer overflow in U-Boot’s ext4 symlink resolution function CVE-2024-57256, CVSS 7.1, hoch
• Integer overflow in U-Boot’s SquashFS symlink resolution function CVE-2024-57255, CVSS 7.1, hoch
• Integer overflow in U-Boot’s SquashFS symlink size calculation function CVE-2024-57254, CVSS 7.1, hoch
• Stack overflow in U-Boot’s SquashFS symlink resolution function CVE-2024-57257, CVSS 2.0, niedrig

Zuletzt wurden etwa Mitte 2022 Sicherheitslücken in U-Boot bekannt. Die wurden sogar als kritisches Risiko eingestuft und ermöglichten bösartigen Akteuren das Einschleusen von Schadcode.

(dmk)