Kelemahan U-Boot baru dapat memungkinkan serangan firmware tersembunyi

Enam kerentanan dalam bootloader U-Boot yang banyak digunakan telah ditemukan yang memungkinkan penyerang mengeksekusi kode berbahaya selama booting perangkat, berpotensi memungkinkan serangan firmware tersembunyi yang membahayakan perlindungan keamanan dan menginstal malware yang persisten.

U-Boot adalah salah satu bootloader sumber terbuka yang paling banyak digunakan di dunia dan ditemukan di banyak perangkat Linux tertanam, termasuk Baseboard Management Controllers (BMC) server perusahaan, peralatan jaringan, sistem industri, perangkat IoT, dan peralatan lainnya.

Karena U-Boot bertanggung jawab untuk memuat sistem operasi, kerentanan dalam bootloader dapat memungkinkan penyerang menyusupi perangkat sebelum sistem operasi dan perangkat lunak keamanannya sempat untuk memulai.

Salah satu fitur keamanannya, yang dikenal sebagai Boot Terverifikasimenggunakan tanda tangan kriptografi untuk memastikan bahwa hanya firmware dan image sistem operasi yang ditandatangani dengan kunci tepercaya yang dimuat saat startup.

Dalam laporan yang diterbitkan minggu ini, perusahaan keamanan firmware Binarly mengungkapkan enam kerentanan dalam kode verifikasi tanda tangan FIT (Flattened Image Tree) U-Boot.

“Menyadari sifat penting dari komponen ini, tim Binarly Research memutuskan untuk memeriksa fungsi inti proyek U-Boot lebih dekat,” jelas Binarly.

“Penelitian ini mengungkapkan enam kerentanan berbeda, mulai dari penolakan layanan (DoS) hingga eksekusi kode arbitrer selama verifikasi gambar yang tidak dipercaya.”

Menurut para peneliti, dua dari kelemahan tersebut berpotensi menyebabkan eksekusi kode arbitrer selama verifikasi firmware, sedangkan empat kelemahan lainnya dapat dieksploitasi untuk merusak perangkat yang rentan.

Karena kelemahan ini berdampak pada kode untuk memvalidasi gambar firmware sebelum sistem operasi dimulai, jika penyerang dapat mengeksploitasi proses tersebut, mereka mungkin dapat mengeksekusi kode berbahaya sebelum sistem operasi dimuat.

Enam kerentanan yang diungkapkan adalah:

• BRLY-2026-037: Cacat yang dapat menyebabkan U-Boot mogok saat memproses gambar firmware berbahaya dan, dalam kondisi tertentu, dapat digunakan untuk eksekusi kode arbitrer.
• BRLY-2026-038: Kerentanan kerusakan memori yang memungkinkan penyerang mengeksekusi kode arbitrer selama verifikasi tanda tangan firmware.
• BRLY-2026-039: Kerentanan pembacaan di luar batas yang dapat membuat perangkat crash dengan memaksa U-Boot membaca melampaui gambar firmware.
• BRLY-2026-040: Dereferensi penunjuk nol yang memungkinkan gambar firmware yang dibuat khusus untuk merusak bootloader.
• BRLY-2026-041: Validasi yang tidak tepat terhadap data firmware yang disimpan secara eksternal yang dapat menyebabkan U-Boot mogok saat memproses gambar firmware berbahaya.
• BRLY-2026-042: Cacat rekursi tak terbatas yang dapat menghabiskan memori tumpukan yang tersedia dan membuat bootloader mogok.

Menurut Binarly, sebagian besar kode rentan telah ada sejak U-Boot versi 2013.07, menyebabkan kelemahan tersebut berpotensi mempengaruhi lebih dari 50 rilis proyek serta vendor yang memanfaatkan kode rentan tersebut di firmware mereka sendiri.

“Ini berarti kerentanan ini berpotensi memengaruhi lebih dari 50 rilis stabil proyek U-Boot. Jika dihitung dari banyak fork vendor hilir, kerentanan ini memiliki dampak signifikan terhadap industri,” jelas Binarly.

Jika berhasil dieksploitasi, kerentanan eksekusi kode arbitrer dapat memungkinkan penyerang mengeksekusi kode pada tahap awal proses booting.

Karena hal ini terjadi sebelum sistem operasi dimuat, penyerang berpotensi menonaktifkan fitur keamanan firmware, mengubah proses booting, menginstal malware firmware yang persisten, atau melakukan tindakan jahat lainnya dengan akses tingkat tinggi.

Binarly mengatakan bahwa malware akan sulit dideteksi karena dijalankan sebelum sistem operasi dimulai.

Binarly mengatakan mengeksploitasi kerentanan ini tidak selalu memerlukan akses fisik. Pada sistem seperti BMC yang mendukung pembaruan firmware jarak jauh, penyerang yang telah menyusupi antarmuka manajemen dapat mengunggah gambar firmware yang dibuat khusus untuk mengeksploitasi kelemahan tersebut.

Binarly melaporkan kerentanan tersebut kepada pengelola U-Boot dan mengirimkan tambalan untuk keenam masalah tersebut, yang sejak itu telah diterima ke dalam basis kode hulu proyek.

Namun, karena U-Boot diintegrasikan ke dalam firmware oleh masing-masing produsen perangkat keras, perbaikan harus terlebih dahulu dimasukkan ke dalam pembaruan firmware vendor sebelum dapat didistribusikan ke pelanggan.

Perangkat lama atau tidak didukung yang tidak lagi menerima pembaruan firmware mungkin tidak akan pernah di-patch.