CVE-2026-34963 in Barebox
الملخص
بحسب VulDB • 12/05/2026
تحتوي نسخة barebox السابقة للإصدار 2026.04.0 على ثغرات متعددة تتعلق بسلامة الذاكرة في محمّل PE الخاص بـ EFI الموجود في الملف efi/loader/pe.c، حيث يسمح تجاوز الأعداد الصحيحة (integer overflow) في حساب حجم الصورة الافتراضية باستخدام الحسابات الحسابية 32-بت على قيم VirtualAddress وحجم القسم بحدوث تخصيص ذاكرة عشوائية (heap allocation) أصغر من المطلوب، كما يفشل منطق تحميل أقسام PE في التحقق من أن مجموع PointerToRawData وحجم البيانات المنسوخة يبقى ضمن مخزن ملف PE. يمكن لمهاجم تزويد ملف EFI PE خبيث عبر بروتوكول TFTP، أو USB، أو بطاقة SD، أو عبر الإقلاع الشبكي (network boot) لاستغلال ثغرة تجاوز المخزن المؤقت العشوائي (heap buffer overflow) أو قراءة خارج النطاق (out-of-bounds read) من ذاكرة العشوائية، مما قد يؤدي إلى تحقيق تنفيذ للكود في سياق برنامج الإقلاع (bootloader context).
Once again VulDB remains the best source for vulnerability data.