ルーターやサーバーの起動ソフト「U-Boot」に6件の脆弱性、署名検証前の任意コード実行などの恐れ
要点
- セキュリティ企業Binarlyが
- 、組み込み機器向け起動プログラム「U-Boot」における6件の脆弱性を発見した。
- 脆弱性のうち4件はデバイスのフリーズ（異常終了）を引き起こし、2件は起動処理の初期段階での任意のプログラム実行につながる恐れがある。
- これらすべての脆弱性は、U-Bootが起動用データのデジタル署名を検証する前の読み込み段階で引き起こされる。
- 脆弱性の原因となるコードは2013年リリースのバージョン（v2013.07）から存在し、50以上の安定版リリースやベンダー製ファームウェアに影響する。
- 修正パッチは既に提供されているものの、U-Bootの公式リリースサイクルとの兼ね合いから、パッチが組み込まれた公式リリースは2026年10月まで提供されない。
ルーターやスマートカメラ、データセンター向けサーバーの管理用チップなど、さまざまなハードウェアの初期起動を担うプログラム「U-Boot」に、深刻な脆弱性が存在することが明らかになりました。ファームウェアのセキュリティ企業であるBinarly（バイナリー）の研究チームが、2026年7月10日に調査報告を公開しました。
報告によると、発見された6件の脆弱性のうち4件はデバイスを強制終了（フリーズ）させるもので、残りの2件は悪意ある起動データを読み込ませることで、起動処理の途中で任意のコード（プログラム）を実行される恐れがあるとのことです。
署名のチェックをすり抜ける危険性
U-Bootは、OSの核となるカーネルやデバイスの構成情報（デバイスツリー）、一時的なファイルシステム（ラムディスク）といった起動に必要な要素を「FIT（Flattened Image Tree）」と呼ばれる一つのパッケージにまとめて管理しています。通常、U-Bootはこれらのパッケージのデジタル署名を検証し、安全であることが確認できてから制御をOSに引き渡す仕組みになっています。
しかし、Binarlyがこの署名検証プロセスを詳しく調査したところ、重大な弱点が浮き彫りになりました。今回指摘された6つの脆弱性はすべて、U-Bootがデジタル署名の検証を完了する前の、信頼されていないパッケージを読み込んでいる最中に発生します。そのため、不正なデータであっても検証前に脆弱性を突くことができてしまいます。
この脆弱性を突くためのコードの多くは、2013年7月にリリースされた「v2013.07」以降のU-Bootに埋め込まれていました。これにより、過去10年以上にわたる50以上の安定版リリースと、それらをベースにして各機器メーカーが開発した無数のファームウェアに影響が及んでいるとBinarlyは指摘しています。
現在、これらのバグはBinarlyのアドバイザリIDである「BRLY-2026-037」から「BRLY-2026-042」として管理されており、共通脆弱性識別子（CVE）はまだ割り当てられていません。
最悪のケースでは機器の完全な乗っ取りも
脆弱性のうち、最も警戒すべきなのは「BRLY-2026-037」と「BRLY-2026-038」の2件です。これらはデバイスツリーの解析ライブラリである「libfdt」の関数「fdt_get_name」の戻り値を確認しないことに起因します。悪意あるデータが読み込まれると、この関数がヌルポインタ（データの存在しないメモリ空間を指す値）やマイナスの長さを返しますが、U-Bootはそれをチェックせずに処理を続行します。
結果として、メモリ内のスタック領域を溢れさせるバッファオーバーフローや、ポインタの計算ミスによる戻り先アドレスの書き換えが発生し、攻撃者が送り込んだコードが実行されてしまう状態になります。
一方、残りの4つのバグはフリーズを引き起こすものです。サイズやオフセットの値を改ざんしてデータ領域外を読み取らせるバグ（BRLY-2026-039、BRLY-2026-041）、古いフォーマットのチェック漏れによるもの（BRLY-2026-040）、再帰的な処理によってメモリを使い果たすスタック枯渇（BRLY-2026-042）が確認されています。
Binarlyは検証用のデータを作成し、標準的なU-Bootのビルド環境で動作することを確認していますが、現時点で実際のサイバー攻撃に悪用された例は報告されていません。
強制終了も機器のサービス停止を招きますが、起動時のコード実行はより深刻です。OSが立ち上がる前の非常に深い領域でプログラムが実行されるため、通常のセキュリティツールではその存在を検知することすら困難になります。
対策とメーカー側の課題
これらの脆弱性を悪用するには、対象の機器に不正な起動データを送り込む必要があります。通常、これには機器への物理的なアクセスや、システムのアップデート権限といった高度なアクセス権が必要になります。
ただし、Binarlyの過去の調査では、Supermicro製のサーバー管理コントローラーにおいて、ネットワーク経由で管理インターフェースに侵入した攻撃者が、正規のアップデート機能を利用して不正なデータを書き込む手法が実証されています。ネットワーク経由であっても、条件が揃えば危険に晒される可能性があります。
現在、U-Bootの修正パッチはすでに統合されていますが、利用者が公式の修正版を入手するにはタイムラグが生じています。U-Bootの2026年7月のリリース（v2026.07）は同年4月に開発が締め切られていたため、このパッチが含まれていません。次の公式リリースである「v2026.10」は10月まで予定されていません。
そのためBinarlyは、U-Bootを利用して製品を製造しているベンダーに対し、公式リリースを待つことなく、アドバイザリ内のリンクから個別にパッチを取り込んで適用することを強く推奨しています。一般のユーザーは、機器メーカーから提供される今後のファームウェアアップデートを注意深く待ち、適用する必要があります。