#Netzwerk & Sicherheit · 3 Min. Lesezeit · Tim Rinkel

ANGRIFF VOR DEM START! Sechs Lücken im U-Boot-Loader hebeln Secure Boot aus — Millionen Geräte betroffen

ANGRIFF VOR DEM START! Sechs Lücken im U-Boot-Loader hebeln Secure Boot aus — Millionen Geräte betroffen

Dein Betriebssystem kann noch so gut abgesichert sein — wenn der Angreifer schon vor dem Systemstart zuschlägt, hilft das alles nichts. Genau davor warnen jetzt die Firmware-Forscher von Binarly: Sie haben sechs Schwachstellen im U-Boot-Bootloader gefunden, dem heimlichen Arbeitstier der Embedded-Welt.

Was ist U-Boot — und warum steckt es überall?

U-Boot (offiziell „Das U-Boot“, der Name ist tatsächlich deutsch) ist der Bootloader, der auf unzähligen Embedded-Linux-Geräten den Startprozess übernimmt: Router, NAS-Systeme, IoT-Gadgets, Industrieanlagen — und sogar die Baseboard Management Controller (BMCs) großer Server. Auch viele Bastel-Boards im Homelab booten damit.

Zwei Lücken lassen fremden Code laufen

Die sechs Advisories (BRLY-2026-037 bis 042) teilen sich in zwei Gruppen: Vier lassen Geräte nur abstürzen — ärgerlich, aber verkraftbar. Zwei erlauben echte Codeausführung: eine Speicherverwaltungs-Lücke, die beim Prüfen von Firmware-Signaturen zuschlägt, und ein Fehler in der Funktion fdt_find_regions, der bei der Signaturprüfung von FIT-Images einen Pufferüberlauf auslösen kann.

Die bittere Pointe: Die Lücken sitzen ausgerechnet in der Signaturprüfung — also genau dem Mechanismus, der eigentlich sicherstellen soll, dass nur vertrauenswürdiger Code startet. Ein präpariertes Boot-Image kann so die Verified-Boot-Kette aushebeln.

13 Jahre alter Code, über 50 Releases

Der verwundbare Code steckt laut Binarly seit Version v2013.07 in U-Boot — also seit über einem Jahrzehnt und in mehr als 50 stabilen Releases. Dazu kommt: Gerätehersteller bauen ihre Firmware oft auf angepassten U-Boot-Varianten auf. Die Lücken schlummern also auch in unzähligen Vendor-Firmwares, die jetzt einzeln aktualisiert werden müssen.

Wie schlimm ist es wirklich?

Die gute Nachricht zuerst: Aktive Angriffe wurden bisher nicht beobachtet, und ein Angreifer braucht in der Regel erst einmal die Möglichkeit, dem Gerät ein manipuliertes Boot-Image unterzuschieben. Die schlechte: Gelingt das, läuft der Schadcode vor dem Betriebssystem — er kann Sicherheitsfunktionen abschalten, den Boot-Prozess umbiegen und Malware installieren, die selbst eine Neuinstallation des Systems übersteht.

Binarly hat die Lücken gemeldet und gleich Patches mitgeliefert, die bereits ins offizielle U-Boot-Projekt übernommen wurden. Für dich heißt das: Halte auf Routern, NAS und Boards die Augen nach Firmware-Updates deines Herstellers offen — und spiele sie zügig ein.

Häufige Fragen

Was ist der U-Boot-Bootloader?
U-Boot ist ein quelloffener Bootloader, der auf Milliarden Embedded-Geräten den Startprozess steuert — vom WLAN-Router über NAS-Systeme bis zu Industrieanlagen und Server-Management-Chips (BMCs). Er lädt und startet das eigentliche Betriebssystem, oft mit Signaturprüfung (Verified Boot).
Kann ein Angreifer die Lücken aus der Ferne ausnutzen?
Nicht direkt. Der Angreifer muss dem Gerät ein manipuliertes Boot-Image unterschieben — etwa über ein kompromittiertes Update, physischen Zugriff oder eine bereits bestehende Infektion. Gelingt das, läuft sein Code aber mit maximalen Rechten vor dem Betriebssystem.
Ist mein Homelab betroffen?
Möglich: Viele ARM-Boards, NAS-Systeme und Router nutzen U-Boot, teils in Hersteller-Varianten mit demselben verwundbaren Code. Prüfe die Update-Seiten deiner Geräte. Der Original-Raspberry-Pi nutzt standardmäßig einen eigenen Bootloader, aber einige Betriebssysteme setzen auch dort U-Boot ein.
Gibt es schon Patches?
Ja. Binarly hat für alle sechs Lücken Fixes eingereicht, die ins offizielle U-Boot-Projekt übernommen wurden. Bis die Korrekturen in der Firmware einzelner Geräte ankommen, kann es aber dauern — entscheidend sind die Updates deines Geräteherstellers.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert