MCUboot-Schwachstellen nach Version: warum die NVD nichts findet

Warum findet die NVD für MCUboot nichts?

Das CPE-Wörterbuch der NVD hat am 27.10.2026 keinen Eintrag für MCUboot. Abfragen mit den naheliegenden Herstellernamen (mcu-tools, linaro, trustedfirmware, arm und weiteren) liefern für jede Version 0. Eine Stichwortsuche nach „mcuboot“ findet vier CVEs, keine davon mit Konfiguration; zwei davon betreffen gar nicht MCUboot, sondern TF-M und einen Zephyr-Treiber.

Wer MCUboot nur über die NVD prüft, sieht also eine Null, die nichts bedeutet. Die Quellen sind die Security-Advisories im Repository mcu-tools/mcuboot und die CVE-Datensätze selbst.

$ curl -s "https://services.nvd.nist.gov/rest/json/cpes/2.0?keywordSearch=mcuboot"  \
| jq .totalResults

0

Welche Lücken hat MCUboot selbst?

Welche MCUboot-Version Zephyr und das nRF Connect SDK mitbringen

Zephyr legt MCUboot in west.yml fest. Nur Zephyr 4.4.2 legt genau ein Release fest; die anderen Stände liegen zwischen zwei Releases. Das nRF Connect SDK holt MCUboot aus Nordics eigenem Repository sdk-mcuboot, das Korrekturen einzeln übernimmt; der gemeinsame Stand mit dem Upstream ist dort nur eine Untergrenze.

Welche MCUboot-Linien werden gepflegt?

MCUboot hat keine LTS-Linie und seit 1.7.2 vom 16.03.2021 kein Patch-Release. Eine Korrektur kommt mit der nächsten Version. Die neueste ist 2.5.0, markiert am 22.10.2026; als GitHub-Release erscheint am 27.10.2026 noch 2.4.0 vom 23.04.2026.

Vorsicht bei der Datei boot/zephyr/VERSION: bei 2.1.0 und 2.2.0 steht darin 2.1.0-dev. Eine Version aus dieser Datei kann hinter dem echten Release liegen.

Wo steht die MCUboot-Version im Image?

Ab 2.1.0 gibt MCUboot unter Zephyr beim Start ein eigenes Banner aus, etwa „*** Booting MCUboot v2.4.0 ***“; der Port für Espressif schreibt „*** Booting MCUboot build …“. Das Banner lässt sich abschalten.

Nicht verwechseln: das Feld ih_ver im Image-Header ist die Version der Anwendung, die mit imgtool sign --version signiert wurde, nicht die von MCUboot.

$ curl -s https://raw.githubusercontent.com/mcu-tools/mcuboot/v2.5.0/boot/zephyr/kernel/banner.c  \
| grep -n "Booting MCUboot"

22:	printk("*** Booting MCUboot " APPLICATION_BANNER_VERSION " ***\n");

Wie prüfe ich das von Hand?

1. 1

   Version lesen: strings -a mcuboot.bin | grep "Booting MCUboot", im Projekt aus west.yml und git describe im MCUboot-Verzeichnis.

2. 2

   Nicht die NVD fragen, sondern die Advisories in mcu-tools/mcuboot und beim nRF Connect SDK die Advisories von Nordic.

3. 3

   Prüfen, ob die Korrektur zu CVE-2024-32883 im Stand steckt (Commit „boot: Enforce TLV entries to be protected“).

4. 4

   Prüfen, ob noch die Beispielschlüssel aus dem Repository im Einsatz sind.

5. 5

   Den KEV-Katalog der CISA auf aktiv ausgenutzte Lücken prüfen.

Geht das auch automatisch?

LegacyMind liest aus dem Build das RTOS und die gelinkten Bibliotheken mit ihren Versionen und gleicht jede gegen die Schwachstellenquellen ab, auch gegen Advisories, die keine NVD-Konfiguration haben, mit der Fundstelle im Build. Belegt das Binary keine Version, bleibt das Feld leer.