CVE-2026-33243 in barebox
Sumário
de VulDB • 16/05/2026
O barebox é um bootloader. No barebox, a partir da versão 2016.03.0 até antes da versão 2026.03.1 (e no backport correspondente para 2025.09.3), um atacante poderia explorar uma vulnerabilidade na verificação de assinatura FIT para enganar o bootloader, fazendo-o iniciar imagens diferentes daquelas que foram verificadas como parte de uma configuração assinada. O mkimage(1) define a propriedade hashed-nodes do nó de assinatura FIT para listar quais nós do FIT foram hashados como parte do processo de assinatura, pois estes precisarão ser verificados posteriormente pelo bootloader. No entanto, o próprio hashed-nodes não faz parte do hash e, portanto, poderia ser modificado para permitir o boot de imagens diferentes daquelas que foram verificadas. Este problema foi corrigido nas versões do barebox 2026.03.1 e backported para 2025.09.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.