来自ForAllSecure的两名研究人员Paul Emge与Zion Basque近日通过GitHub披露4个有关Das U-Boot的安全漏洞，它们分别是CVE-2019-13103、CVE-2019-13104、CVE-2019-13105及CVE-2019-13106，最严重的状况将允许黑客执行任意程序。
Das U-Boot为一开源的开机加载程序，通常被使用在嵌入式设备中，用来打包可启动设备操作系统核心的指令，它支持ARM、MIPS、RISC-V与x86等多种计算机架构，不管是Amazon的Kindle、基于ARM的Chromebook或网络设备都采用了Das U-Boot。
不过，研究人员发现Das U-Boot文件系统的驱动程序中含有许多漏洞，例如CVE-2019-13103属于堆积溢出漏洞，可惹来拒绝服务攻击或允许黑客执行任意程序。CVE-2019-13104则是个缓冲区溢出漏洞，可能导致内存毁损。CVE-2019-13105会造成内存重复释放。
而CVE-2019-13106则是个更严重的缓冲区溢出漏洞，将让黑客轻易地掌控CPU，从而破坏经过验证的启动。
根据ThreatPost的报道，U-Boot已在2019.10版中修补了相关的漏洞，但除非采用Das U-Boot的设备制造商展开修补，否则依然会带来风险。
研究人员向ThreatPost解释，作为一个经常被使用在嵌入式设备的开机加载程序，其更新周期通常很长，甚至是从不更新，含有漏洞的版本相信还会存在一段时间，但相关漏洞所带来的风险程度，将视设备的配置而定。