Критическая уязвимость переполнения буфера в Das U-Boot (CVE-2026-15390)
В загрузчике Das U-Boot обнаружена критическая уязвимость типа out-of-bounds write, связанная с некорректной обработкой фрагментированного IP-трафика при включённой опции CONFIG_IP_DEFRAG. Атакующий, способный отправлять фрагментированные пакеты, может выполнить произвольный код. Проблема получила оценку CVSS 9.0 и уже исправлена в версии 2026.07.
Подробности
Уязвимость CVE-2026-15390 затрагивает Das U-Boot, разрабатываемый компанией DENX Software Engineering. Она проявляется только при сборке загрузчика с параметром CONFIG_IP_DEFRAG=y, который активирует механизм сборки фрагментированных IP-датаграмм. Корень проблемы — в том, что после успешной доставки полностью собранной датаграммы U-Boot не очищает состояние реассемблирования IP-фрагментов. Из-за этого повторная обработка уже завершённой сборки приводит к выходу за пределы выделенного буфера (out-of-bounds write). На практике это означает, что атакующий, имеющий возможность доставлять фрагментированный IP-трафик на уязвимое устройство, может многократно отправлять дублированные пакеты, содержащие последний фрагмент, и тем самым инициировать запись за границами буфера. Успешная эксплуатация позволяет выполнить произвольный код в контексте загрузчика. Уязвимости присвоена оценка CVSS 9.0 (CRITICAL), что отражает её высокую опасность: эксплуатировать её можно удалённо, без аутентификации, а последствия для устройства — вплоть до полной компрометации на этапе загрузки. Проблема была устранена в коммите b1aec609bb5e0d08c25c888c91935287ab4ee5fa и вошла в состав релиза Das U-Boot 2026.07.Что делать
Основная рекомендация — как можно скорее обновить Das U-Boot до версии 2026.07 или более поздней, содержащей исправляющий коммит. Особенно это касается производителей встраиваемых устройств и OEM-вендоров, которые поставляют прошивки на базе U-Boot. Если немедленное обновление невозможно, следует рассмотреть временные митигации: - По возможности пересобрать загрузчик без опции CONFIG_IP_DEFRAG, если дефрагментация IP-пакетов не требуется для сценариев загрузки (например, сетевой загрузки через TFTP). Это полностью устраняет вектор эксплуатации. - Ограничить доступ к сетевому сегменту, в котором работают устройства с включённой дефрагментацией, чтобы снизить вероятность доставки нелегитимного фрагментированного трафика. - Применить фильтрацию и мониторинг фрагментированных IP-пакетов на периметре, где это применимо. Важно понимать, что фильтрация на уровне сети — лишь дополнительная мера: она не устраняет саму уязвимость, тогда как обновление или отключение уязвимой конфигурации закрывают её по существу.Итог
CVE-2026-15390 — серьёзная уязвимость удалённого выполнения кода в Das U-Boot, эксплуатируемая через дублированные последние IP-фрагменты при включённой дефрагментации. Учитывая, что U-Boot широко используется во встраиваемых и IoT-устройствах, а компрометация загрузчика даёт атакующему глубокий контроль над системой, обновление до версии 2026.07 или отключение CONFIG_IP_DEFRAG должно стать приоритетом для всех, кто использует затронутые сборки.Источник: CVE Project (cvelistV5)