Un nuevo análisis de seguridad de Binarly Research ha revelado seis vulnerabilidades críticas en el cargador de arranque U-Boot. Estos fallos exponen a los sistemas embebidos y plataformas de gestión de servidores a ataques de denegación de servicio (DoS) y a la posible ejecución de código arbitrario. U-Boot es un componente fundamental en el proceso de arranque de numerosos dispositivos, tales como routers, sistemas IoT y controladores de gestión de placa base (BMCs).

Un nuevo análisis de seguridad de Binarly Research ha descubierto seis vulnerabilidades críticas en el ampliamente utilizado cargador de arranque U-Boot, exponiendo sistemas embebidos y plataformas de gestión de servidores a ataques de denegación de servicio (DoS) y a la posible ejecución de código arbitrario.

U-Boot es un componente fundamental en la cadena de arranque de innumerables dispositivos, incluyendo routers, sistemas IoT y Controladores de Gestión de Placa Base (BMCs) utilizados en servidores empresariales.

Al ser una de las primeras piezas de código que se ejecutan durante el inicio del sistema, cualquier debilidad en U-Boot puede comprometer toda la cadena de confianza.

Centrándose específicamente en el mecanismo de Arranque Verificado de U-Boot, la verificación de firmas FIT (Flattened Image Tree), los investigadores de Binarly identificaron fallos en la forma en que se procesan las imágenes de arranque no confiables antes de que se complete la validación.

Estos problemas afectan a rutas de código que han estado presentes desde la versión v2013.07, impactando potencialmente a más de 50 versiones estables y numerosas bifurcaciones (forks) de proveedores.

Vulnerabilidades de Verificación de Firma FIT de U-Boot

Las vulnerabilidades (BRLY-2026-037 a BRLY-2026-042) se dividen en dos categorías: dos permiten la posible ejecución de código, mientras que cuatro conducen a condiciones de DoS.

• BRLY-2026-037: Una desreferencia de puntero nulo en fdt_find_regions puede provocar la caída del sistema. En ciertos entornos donde la memoria en la dirección 0x0 está mapeada, este fallo puede escalar a un desbordamiento de búfer basado en la pila, permitiendo la ejecución de código.
• BRLY-2026-038: Un problema relacionado permite un subdesbordamiento del búfer de la pila debido al manejo incorrecto de valores de longitud negativos. Los atacantes pueden manipular los punteros de memoria para sobrescribir las direcciones de retorno y ejecutar código arbitrario durante el arranque.
• BRLY-2026-039: Un campo de tamaño no comprobado en la propiedad de cadenas hash permite que los atacantes provoquen lecturas excesivas de memoria durante el hashing, lo que provoca una caída del sistema.
• BRLY-2026-040: Ocurre otra desreferencia de puntero nulo al procesar propiedades en formatos FIT heredados, causando un fallo inmediato durante el análisis de la imagen.
• BRLY-2026-041: La validación incorrecta de las referencias de datos externos (desplazamiento de datos, posición de datos, tamaño de datos) permite a los atacantes apuntar fuera de la memoria válida o solicitar lecturas excesivas, resultando en caídas del sistema.
• BRLY-2026-042: Una función recursiva no limitada utilizada durante la validación de FIT puede agotar la memoria de la pila al procesar estructuras de imágenes profundamente anidadas, provocando un DoS.

Las seis vulnerabilidades se activan durante el procesamiento de una imagen FIT maliciosa antes de que se complete la verificación de la firma. Esto es significativo porque los atacantes pueden diseñar imágenes que evadan completamente los controles de confianza.

Aunque a menudo se asume que tales ataques requieren acceso físico, Binarly destaca escenarios del mundo real donde atacantes remotos pueden explotar los mecanismos de actualización de firmware.

Por ejemplo, interfaces BMC inseguras podrían permitir que los adversarios carguen y flasheen imágenes maliciosas, ganando efectivamente el control en la etapa más temprana de ejecución.

El impacto varía desde dejar los dispositivos incapaces de arrancar hasta ejecutar implantes de firmware sigilosos que persisten por debajo del nivel del sistema operativo y evaden las herramientas de seguridad tradicionales.

Binarly coordinó la divulgación con los mantenedores de U-Boot y proporcionó parches para los seis problemas. Estas correcciones han sido integradas en el repositorio principal de U-Boot.

Mitigaciones clave incluyen: Añadir comprobaciones de punteros nulos y validar los valores de retorno. Imponer límites en los campos de tamaño y desplazamiento. Limitar la profundidad de la recursividad durante el análisis de FIT. Asegurar que todas las regiones de memoria se encuentren dentro de los límites válidos de la imagen.

Se recomienda encarecidamente a las organizaciones que utilicen U-Boot, especialmente en entornos embebidos y de gestión de servidores, que actualicen a las versiones parcheadas o apliquen las correcciones inmediatamente.

Dada la extensa adopción de U-Boot y la longevidad del código vulnerable, estos fallos representan un amplio riesgo en la cadena de suministro. Muchos dispositivos pueden permanecer expuestos debido a firmware desactualizado o bifurcaciones de proveedores sin mantenimiento.

Los hallazgos refuerzan la importancia del análisis continuo de la seguridad del firmware y una validación más estricta de los componentes de arranque.

 A medida que los atacantes se centran cada vez más en las etapas iniciales del arranque, asegurar los cargadores de arranque como U-Boot se está volviendo crítico para mantener la integridad de la plataforma.

Fuentes:
https://cybersecuritynews.com/u-boot-fit-signature-verification/