CVE-2026-34963

Nome do Software Vulnerável e Versões Afetadas barebox versões anteriores a 2026.04.0

Descrição Diversos problemas de segurança de memória existem no carregador EFI PE no arquivo efi/loader/pe.c. Ocorre um estouro de inteiro (integer overflow) durante o cálculo do tamanho da imagem virtual ao usar aritmética de 32 bits nos valores de VirtualAddress e tamanho da seção, resultando em uma alocação de heap subdimensionada. Além disso, a lógica de carregamento de seção PE não valida se o PointerToRawData somado ao tamanho copiado permanece dentro do buffer do arquivo PE. Um invasor pode fornecer um binário EFI PE malicioso via TFTP, USB, cartão SD ou boot de rede para disparar um estouro de buffer de heap ou uma leitura fora dos limites (out-of-bounds read) da memória heap, potencialmente alcançando a execução de código no contexto do carregador de boot.

Recomendações Atualize para a versão 2026.04.0.