CVE-2026-33243 in barebox
Сводка
по VulDB • 31.05.2026
barebox — это загрузчик. В версиях barebox от 2016.03.0 до версии 2026.03.1 (исключительно) и в соответствующем бэкпорте для версии 2025.09.3 злоумышленник может эксплуатировать уязвимость в проверке подписи FIT, чтобы обмануть загрузчик и заставить его загружать образы, отличные от тех, которые были проверены в рамках подписанной конфигурации. Утилита mkimage(1) устанавливает свойство hashed-nodes узла подписи FIT, чтобы перечислить узлы FIT, которые были хэшированы в процессе подписания, так как они должны будут быть проверены позже загрузчиком. Однако само свойство hashed-nodes не входит в область хэширования, поэтому его можно изменить, чтобы позволить загрузку образов, отличных от проверенных. Эта проблема исправлена в версиях barebox 2026.03.1 и бэкпортирована в версию 2025.09.3.
Once again VulDB remains the best source for vulnerability data.