U-Boot

Seis vulnerabilidades foram descobertas no U-Boot, um dos bootloaders de código aberto mais utilizados globalmente, que podem permitir a execução de código malicioso durante o processo de inicialização de dispositivos. O U-Boot é amplamente encontrado em dispositivos Linux embarcados, como controladores de gerenciamento de placa-mãe (BMCs), equipamentos de rede e dispositivos IoT. As falhas, identificadas pela empresa de segurança Binarly, variam de negação de serviço (DoS) a execução arbitrária de código, comprometendo a segurança antes mesmo do sistema operacional ser carregado. Dentre as vulnerabilidades, duas podem permitir a execução de código arbitrário, enquanto as outras quatro podem causar falhas nos dispositivos. A exploração dessas falhas pode ocorrer sem acesso físico, especialmente em sistemas que suportam atualizações de firmware remotas. Embora a Binarly tenha reportado as vulnerabilidades e enviado patches, a implementação das correções depende dos fabricantes de hardware, o que pode deixar dispositivos mais antigos sem proteção. A natureza crítica dessas falhas exige atenção imediata das equipes de segurança, pois podem resultar em malware persistente e comprometimento de sistemas antes da inicialização do sistema operacional.

Pesquisadores da Binarly identificaram seis novas vulnerabilidades no U-Boot, um bootloader amplamente utilizado em dispositivos como roteadores, câmeras inteligentes e servidores de data centers. Quatro das falhas podem causar a queda do dispositivo, enquanto duas permitem que um atacante execute código malicioso antes da verificação da autenticidade do software. Essas vulnerabilidades estão presentes no U-Boot desde a versão v2013.07 e afetam mais de 50 versões estáveis. As falhas são categorizadas como BRLY-2026-037 a BRLY-2026-042, sendo que as duas mais críticas podem levar à execução de código malicioso. A exploração dessas falhas requer que uma imagem maliciosa chegue ao caminho de inicialização, o que geralmente exige acesso físico ou um ponto de acesso privilegiado. Embora a Binarly tenha publicado provas de conceito, não há relatos de exploração em ataques reais. A correção das falhas foi integrada ao U-Boot em junho, mas ainda não há uma versão estável disponível com os patches. Para os fabricantes de dispositivos que utilizam U-Boot, é crucial implementar as correções imediatamente, uma vez que a próxima versão está prevista apenas para outubro.