Dein Betriebssystem kann noch so gut abgesichert sein — wenn der Angreifer schon vor dem Systemstart zuschlägt, hilft das alles nichts. Genau davor warnen jetzt die Firmware-Forscher von Binarly: Sie haben sechs Schwachstellen im U-Boot-Bootloader gefunden, dem heimlichen Arbeitstier der Embedded-Welt.
Was ist U-Boot — und warum steckt es überall?
U-Boot (offiziell „Das U-Boot“, der Name ist tatsächlich deutsch) ist der Bootloader, der auf unzähligen Embedded-Linux-Geräten den Startprozess übernimmt: Router, NAS-Systeme, IoT-Gadgets, Industrieanlagen — und sogar die Baseboard Management Controller (BMCs) großer Server. Auch viele Bastel-Boards im Homelab booten damit.
Zwei Lücken lassen fremden Code laufen
Die sechs Advisories (BRLY-2026-037 bis 042) teilen sich in zwei Gruppen: Vier lassen Geräte nur abstürzen — ärgerlich, aber verkraftbar. Zwei erlauben echte Codeausführung: eine Speicherverwaltungs-Lücke, die beim Prüfen von Firmware-Signaturen zuschlägt, und ein Fehler in der Funktion fdt_find_regions, der bei der Signaturprüfung von FIT-Images einen Pufferüberlauf auslösen kann.
Die bittere Pointe: Die Lücken sitzen ausgerechnet in der Signaturprüfung — also genau dem Mechanismus, der eigentlich sicherstellen soll, dass nur vertrauenswürdiger Code startet. Ein präpariertes Boot-Image kann so die Verified-Boot-Kette aushebeln.
13 Jahre alter Code, über 50 Releases
Der verwundbare Code steckt laut Binarly seit Version v2013.07 in U-Boot — also seit über einem Jahrzehnt und in mehr als 50 stabilen Releases. Dazu kommt: Gerätehersteller bauen ihre Firmware oft auf angepassten U-Boot-Varianten auf. Die Lücken schlummern also auch in unzähligen Vendor-Firmwares, die jetzt einzeln aktualisiert werden müssen.
Wie schlimm ist es wirklich?
Die gute Nachricht zuerst: Aktive Angriffe wurden bisher nicht beobachtet, und ein Angreifer braucht in der Regel erst einmal die Möglichkeit, dem Gerät ein manipuliertes Boot-Image unterzuschieben. Die schlechte: Gelingt das, läuft der Schadcode vor dem Betriebssystem — er kann Sicherheitsfunktionen abschalten, den Boot-Prozess umbiegen und Malware installieren, die selbst eine Neuinstallation des Systems übersteht.
Binarly hat die Lücken gemeldet und gleich Patches mitgeliefert, die bereits ins offizielle U-Boot-Projekt übernommen wurden. Für dich heißt das: Halte auf Routern, NAS und Boards die Augen nach Firmware-Updates deines Herstellers offen — und spiele sie zügig ein.