零一空天网 - 漏洞
type: channel
link: https://m.001kt.com/tag/%E6%BC%8F%E6%B4%9E/
items: 潜伏13年的U-Boot漏洞曝光！你的服务器可能已经"裸奔"了

潜伏13年的U-Boot漏洞曝光！你的服务器可能已经"裸奔"了
type: item
date: 2026-07-11T18:00:09+08:00
description: 这两天技术圈里热议的一件事，就是Binarly公司曝出的U-Boot六个高危漏洞。老实说，我看了那份安全报告之后，第一反应不是"又出漏洞了"，而是——这玩意儿居然藏了13年都没人发现？写这篇文章的原因，是发现很多做服务器运维的朋友根本不知道U-Boot是什么，更别说意识到这个漏洞对自己的服务器意味着什么了。先别慌，我们从头捋一遍。说明： 本文发布于2026年7月，所有技术细节均基于Binarly于2026年7月9日发布的安全报告（BRLY-2026-037至BRLY-2026-042）。目录 U-Boot是什么？为什么它无处不在？ 六个漏洞，两个能远程执行代码 你最该担心的是什么 做服务器导购的，怎么帮客户避坑？ 如何自查和修复？ 总结 U-Boot是什么？为什么它无处不在？很多人知道操作系统、知道BIOS，但对Bootloader（引导加载程序）基本是"听说过但不知道它在干啥"。简单来说：你按下电源键 → U-Boot启动 → 初始化CPU、内存、外设 → 加载操作系统 → 把控制权交给系统。U-Boot就像一个"开机总指挥"。在操作系统还没起来之前，所有硬件都由它说了算。如果这个环节出了问题，后面的安全措施再强都没用。U-Boot的全称是 Das U-Boot（Universal Bootloader），是嵌入式领域最主流的开源引导程序。它的使用范围广到什么程度？ 路由器、交换机 服务器主板（尤其是ARM架构服务器） 工业控制设备 消费电子（智能电视、机顶盒） 服务器的BMC（基板管理控制器） 你看，从你家里的路由器，到你托管在机房的服务器，再到数据中心里的交换机，很可能都在用U-Boot。六个漏洞，两个能远程执行代码这次Binarly曝出的漏洞编号是 BRLY-2026-037 至 BRLY-2026-042，一共六个。其中： 漏洞编号 类型 危害程度 BRLY-2026-037 空指针→栈缓冲区溢出 高危(代码执行) BRLY-2026-038 负长度值→内存破坏 高危(代码执行) BRLY-2026-039 越界读取 中危(DoS) BRLY-2026-040 空指针解引用 中危(DoS) BRLY-2026-041 越界读取 中危(DoS) BRLY-2026-042 无界递归耗尽栈 中危(DoS) 最要命的是BRLY-2026-037和BRLY-2026-038这两个。它们出在U-Boot的FIT（Flattened Image Tree）镜像签名验证代码中——这东西本来的作用是确保只有经过数字签名的可信固件才能被加载。结果呢？签名还没验证完，攻击者已经可以把代码执行了。 这就好比你请了个保安，结果保安自己先被收买了。Binarly的研究团队已经在QEMU ARM仿真环境下成功验证了BRLY-2026-038的利用可行性。也就是说，这不是理论漏洞，是实打实的能打穿。更"精彩"的是，这段有问题的代码从U-Boot v2013.07版本就存在了。2013年7月发布的，到现在整整13年。这13年里，它影响了超过50个稳定版本以及无数下游厂商的分支固件。你信不信，有些还在跑的老旧服务器，固件版本可能还是2013年那会儿的？你最该担心的是什么做服务器导购的，我每天接触各种客户。很多人问我最多的问题是"这个配置够不够跑AI"、"这家VPS带宽够不够"。但很少有人问："这台服务器的固件安全怎么样？"这次U-Boot漏洞最让人担心的地方有三点：第一，攻击不需要物理接触。这是我个人觉得最可怕的地方。在支持远程固件更新的服务器BMC中，只要攻击者拿到了管理界面权限（别觉得这很难，有些厂商的BMC默认密码到现在还是admin/admin），他们就可以上传一个精心构造的恶意固件镜像，远程触发漏洞。然后呢？你的服务器就变成别人的了。第二，攻击发生在操作系统启动之前。这意味着什么？你装再好的杀毒软件、再好的EDR（端点检测与响应系统）、再严格的主机防火墙——全都没用。因为攻击发生在它们启动之前。恶意代码直接写到固件层面，重装系统都清不掉。这种攻击有个专门的名字：持久化固件后门（Persistent Firmware Backdoor）。第三，修复流程极其漫长。U-Boot的补丁已经合并到主分支了。但问题是，补丁到了U-Boot项目、到硬件厂商适配、再到最终用户设备，中间要经过一个漫长的链条：U-Boot项目发布补丁 → 硬件厂商（如AMI、Insyde）集成 → OEM/ODM厂商适配 → 品牌方（如Dell、HPE、Supermicro）测试发布 → 最终用户打上固件更新这个链条走完，快的几个月，慢的——可能永远都走不完。特别是那些已经停止固件更新的老旧设备，直接就变"弃子"了。做服务器导购的，怎么帮客户避坑？说了这么多技术细节，如果你就…