从路由器到服务器：潜伏 13 年的 U-Boot 漏洞曝光，威胁数百万设备

　　 IT之家7月11日消息，固件安全公司Binarly于当地时间7月9日发布了一份重磅安全报告，披露了全球最广泛使用的开源引导程序U-Boot中存在的六个高危漏洞。

　　这批漏洞编号为BRLY-2026-037至BRLY-2026-042，其中两个可导致任意代码执行，四个可引发拒绝服务(DoS)攻击。

　　更令人担忧的是，易受攻击的代码自2013年7月发布的U-Boot v2013.07版本起便已存在，影响了超过50个稳定版本及无数下游厂商的分支固件，潜在影响范围极为广泛。

　　 U-Boot作为引导程序，负责在操作系统启动前完成CPU、内存及外设的初始化工作。其提供的“Verified Boot”安全机制本应通过加密签名确保仅有可信固件被加载，而此次曝光的漏洞恰恰出现在FIT(Flattened Image Tree)镜像签名验证的核心代码中——攻击者可在签名验证完成之前，通过构造恶意FIT镜像触发漏洞。

　　其中风险最高的两个漏洞BRLY-2026-037和BRLY-2026-038，均源于U-Boot对设备树解析库fdt_get_name函数返回值的未校验处理。当遇到精心制作的畸形镜像时，该函数会返回空指针和负长度值，而U-Boot直接使用这些值。BRLY-2026-037在特定内存布局下可将空指针引用升级为栈缓冲区溢出；BRLY-2026-038则利用负长度值使指针逆向移动，最终覆盖返回地址实现代码执行。Binarly研究团队已在QEMU ARM仿真环境中成功验证了BRLY-2026-038的利用可行性。

　　其余四个漏洞同样不容忽视。BRLY-2026-039和BRLY-2026-041允许攻击者通过控制镜像尺寸或偏移字段，迫使U-Boot越界读取内存直至崩溃；BRLY-2026-040在解析旧版本格式镜像时因未检查空指针而触发崩溃；BRLY-2026-042则利用深度嵌套的镜像结构触发无界递归，耗尽栈内存——每层嵌套仅需12字节镜像大小即可消耗至少16字节栈空间。

　　攻击者若成功利用代码执行漏洞，将在操作系统及任何安全软件启动之前获得控制权，可禁用安全功能、篡改启动流程或植入极具隐蔽性的持久化固件后门。IT之家注意到，此类攻击并非必须依赖物理接触设备——在服务器BMC(IT之家注：基板管理控制器)等支持远程固件更新的系统中，已获得管理界面权限的攻击者可通过上传恶意固件镜像远程触发漏洞。受DoS漏洞影响的设备可能彻底无法启动，部分情况下需物理接触并重新烧录SPI闪存芯片方能恢复。

　　 Binarly已依照U-Boot项目安全政策提交了漏洞报告，并与维护者Simon Glass和Tom Rini合作完成了所有六个补丁的开发和审查。

　　相关修复方案已被合并至U-Boot主分支代码库。然而，由于U-Boot由各硬件厂商集成至自有固件中，补丁仍需经过厂商适配才能最终抵达终端用户设备，而且已停止固件更新的老旧设备可能永远无法获得修复。