Zwei Sicherheitslücken, CVE-2022-30790 und CVE-2022-30552, wurden in U-Boot entdeckt, ein beliebter Bootloader für eingebettete Systeme.
Der Lader hat viele Implementierungen für verschiedene Architekturen, und ist in den meisten Linux-basierten eingebetteten Systemen vorhanden, einschließlich ChromeOS und Android. Die beiden Sicherheitslücken liegen im IP-Defragmentierungsalgorithmus.
Es sei darauf hingewiesen, dass die Entwicklung von u-boot „eng mit Linux verwandt“ sei.. Laut der GitHub-Seite des Projekts, Einige Teile des Quellcodes stammen aus dem Linux-Quellcodebaum, mit einigen Header-Dateien gemeinsam.
CVE-2022-30790 und CVE-2022-30552
Die Schwachstellen könnten für willkürliche Out-of-Bounds-Schreibangriffe ausgenutzt werden, sowie Denial-of-Service-Angriffsszenarien:
- Technischer Ratgeber – Das Überschreiben des Lochdeskriptors bei der Defragmentierung von U-Boot-IP-Paketen führt zu willkürlichem Out-of-Bounds Write Primitive (CVE-2022-30790);
- Technischer Ratgeber – Großer Pufferüberlauf führt zu DoS im U-Boot-IP-Paket-Defragmentierungscode (CVE-2022-30552).
CVE-2022-30790 wirkt sich auf die U-Boot-Implementierung von RFC815 IP DATAGRAM RESAssembly ALGORITHMS aus, die für einen Lochdeskriptor-Überschreibungsangriff anfällig ist, der letztendlich zu einem willkürlichen Schreibprimitiv führt.
CVE-2022-30552 könnte durch ein speziell präpariertes fragmentiertes IP-Datagramm mit einer ungültigen Gesamtlänge zu einem Pufferüberlauf führen, der einen Denial-of-Service verursacht.
Beide Probleme können nur aus dem lokalen Netzwerk ausgenutzt werden, was es Angreifern dann ermöglichen könnte, die Geräte zu rooten und a DoS Angriff über ein fehlerhaftes Paket. Korrekturen werden in Kürze zur Verfügung gestellt, und Benutzer sollten so schnell wie möglich auf die neueste Version aktualisieren. Weitere Informationen finden Sie in die offiziellen Beratungs.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: