U-Boot FIT Signature の 6 件の脆弱性が FIX：任意のコード実行と DoS の恐れ

Six U-Boot FIT Signature Verification Flaws Enable Code Execution and DoS Attacks

2026/07/10 CyberSecurityNews — U-Boot ブートローダーに存在する 6 件の深刻な脆弱性が、Binarly Research によるセキュリティ分析により発見された。これらの脆弱性が悪用されると、組み込みシステムおよびサーバ管理プラットフォームが、サービス拒否 (DoS) 攻撃や任意のコード実行にさらされる。U-Boot は、広範なデバイスのブート・チェーンにおける基盤コンポーネントであり、ルーターや IoT システムに加えて、エンタープライズ・サーバの Baseboard Management Controllers (BMC) などで使用されている。

システム起動時に最初に実行されるコードの 1 つであるため、U-Boot に存在する弱点により、信頼の連鎖全体が侵害される可能性がある。

U-Boot の Verified Boot メカニズムの、FIT (Flattened Image Tree) 署名検証において Binarly の研究者たちが特定したのは、署名検証が完了する前に処理される、信頼できないブートイメージに関する問題である。

これらの問題は、バージョン v2013.07 以降に存在してきたコードパスに影響し、50 種類を超える安定版リリースと、多数のベンダー・フォークに影響を及ぼす可能性がある。

U-Boot FIT 署名検証の脆弱性

これらの脆弱性 (BRLY-2026-037 〜 BRLY-2026-042) は、2 つのカテゴリに分類される。2 件は潜在的なコード実行を可能にし、4 件は DoS 状態を引き起こす。

BRLY-2026-037：fdt_find_regions における NULL ポインタ参照により、システムがクラッシュする可能性がある。アドレス 0x0 のメモリがマッピングされている特定の環境では、この欠陥がスタックバッファオーバー・フローへと悪化し、コード実行が可能になる。

BRLY-2026-038：負の長さ値の処理が不適切であることに起因して、スタックバッファ・アンダーフローが可能になる。攻撃者はメモリ・ポインタを操作し、戻りアドレスを上書きし、ブート中に任意コードを実行できる。

BRLY-2026-039：hashed-strings プロパティにおける未チェックのサイズ・フィールドにより、攻撃者はハッシュ処理中に過剰なメモリ読み取りを引き起こし、クラッシュにつなげることができる。

BRLY-2026-040：レガシー FIT 形式のプロパティ処理時に、別の NULL ポインタ参照が発生し、イメージ解析中に即座に失敗する。

BRLY-2026-041：外部データ参照 (data-offset／data-position／data-size) の不適切な検証により、攻撃者による有効メモリ外の操作や、過大な読み取り要求などが可能になる。その結果、システム・クラッシュが発生する。

BRLY-2026-042：FIT 検証中に使用される境界のない再帰関数により、深くネストされたイメージ構造を処理する際にスタック・メモリが枯渇し、DoS に至る恐れがある。

これらの 6 件の脆弱性は、署名検証が完了する前に、悪意のある FIT イメージを処理する際にトリガーされる。それにより攻撃者は、信頼チェックを完全に回避するイメージを作成できるため、深刻な影響が生じる。

このような攻撃には、物理アクセスが必要だと想定されることが多い。しかし、Binarly が強調するのは、リモート攻撃者がファームウェア更新メカニズムを悪用するという実世界のシナリオである。

たとえば、安全ではない BMC インターフェイスにより、敵対者が悪意のイメージをアップロードしてフラッシュする可能性がある。その結果として、実行の最初期の段階で制御が奪取される。

その影響は広範囲に及ぶ。たとえば、デバイスを起動不能にすることから、OS レベル以下での永続化の達成により、従来のセキュリティ・ツールを回避するステルス性の高いファームウェア・インプラントの実行にまで至る恐れがある。

Binarly は U-Boot メンテナと協調して開示を行い、6 件の脆弱性に対するパッチを提供した。これらの修正は、メインラインの U-Boot リポジトリにマージされている。

主な緩和策として挙げられるのは、NULL ポインタチェックと戻り値検証の追加／サイズおよびオフセットフィールドへの境界の強制／FIT 解析中の再帰深度の制限／メモリ領域が有効なイメージ境界内に収まることの確認などである。

U-Boot を使用している組織において、特に組み込み環境およびサーバを管理する組織においては、パッチ適用済みバージョンへ更新、もしくは、修正の速やかなバックポートが強く推奨される。

広範な採用される U-Boot に、長期間にわたり脆弱なコードが存在してきたことを踏まえると、これらの欠陥により、広範なサプライチェーン・リスクが生じる可能性がある。古いファームウェアや保守されていないベンダー・フォークにより、多くのデバイスが脆弱な状態に置かれる可能性がある。

この調査結果により再確認されるのは、継続的なファームウェア・セキュリティ分析と、ブート・コンポーネントの厳格な検証の重要性である。

攻撃者が初期ブート段階を標的にする傾向を強める中、U-Boot のようなブートローダーを保護することが、プラットフォームの完全性を維持する上で重要になっている。

訳者後書：組み込み機器からサーバに至るまでの、デバイスの起動時における信頼の起点となるプログラムには極めて高い堅牢性が求められます。U-Boot と呼ばれるブートローダーの仕組みにおいて、起動用イメージの検証が完了する前に特定の処理を実行してしまう弱点が判明しました。BRLY-2026-037 から BRLY-2026-042 までの脆弱性により、リモートからのデバイスの強制終了や、OS 起動前の不正なプログラムの実行などが引き起こされる恐れがあります。製品の安全な稼働を維持するために、修正済みのソースコードを適用した最新ファームウェアへの速やかなアップデートが必要です。