Blog 24/7
ARK. 1 · 1 min czytaniaPolska ·

Das U-Boot z CVE-2026-15390 pozwala wykonać kod, poprawka jest w wersji 2026.07

CERT Polska ujawnił podatność CVE-2026-15390 w Das U-Boot. Przy włączonym CONFIG_IP_DEFRAG=y zduplikowane fragmenty IP pozwalają wykonać dowolny kod. Poprawka jest w wersji 2026.07.

Karta wpisu: Das U-Boot z CVE-2026-15390 pozwala wykonać kod, poprawka jest w wersji 2026.07

Podatność CVE-2026-15390 w oprogramowaniu Das U-Boot firmy DENX Software Engineering pozwala wykonać dowolny kod. Poprawka jest w wersji 2026.07.

Błąd występuje, gdy U-Boot ma ustawiony parametr CONFIG_IP_DEFRAG=y. Oprogramowanie nie czyści wtedy stanu składania pakietów IP (IP reassembly state) po dostarczeniu kompletnego datagramu. Atakujący, który jest w stanie dostarczać fragmentowany ruch IP, może wykonać dowolny kod, wysyłając zduplikowane ostatnie fragmenty datagramu IP. CERT Polska otrzymał zgłoszenie i koordynował proces ujawniania informacji. Podatność zgłosił Mateusz Furdyna z Nokii.

Kogo dotyczy

Podatne są instalacje Das U-Boot z ustawionym parametrem CONFIG_IP_DEFRAG=y, które nie zawierają poprawki z wersji 2026.07. Do ataku potrzebna jest możliwość dostarczania fragmentowanego ruchu IP do urządzenia.

Co zrobić

Zaktualizuj Das U-Boot do wersji 2026.07. Poprawka znajduje się w commicie b1aec609bb5e0d08c25c888c91935287ab4ee5fa.

TAB. 2

Źródła

1
CERT Polska — Podatność w oprogramowaniu Das U-Bootcert.pl
TAB. 3

Powiązane

3
04.11.2026PolskaFałszywe kupony Rossmanna prowadzą do subskrypcji za kilkaset złotych
04.11.2026PolskaFałszywa karta Rossmanna za 2000 zł kończy się subskrypcją 12,30 zł co 7 dni
04.11.2026PolskaWyciek danych klientów sklepu Muve.pl przez lukę w aplikacji do obsługi płatności

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com