Wie viele CVEs führt die NVD für meine U-Boot-Version?
Gezählt sind CVEs, deren NVD-Konfiguration die Version als verwundbar führt, abgefragt am 27.10.2026 über die NVD-API, ohne zurückgezogene Einträge, jeder Treffer gegen seine Konfiguration nachgeprüft. Die NVD führt U-Boot unter cpe:2.3:a:denx:u-boot. Das CPE-Wörterbuch endet bei 2026.04; für 2026.07 und 2026.10 gibt es noch keinen Eintrag.
Bei 2026.04 liefert die Abfrage vier Treffer, die nur die Release-Kandidaten rc1 bis rc3 betreffen. Sie sind herausgerechnet; eine davon betrifft das Release trotzdem (siehe unten).
| Version, Erscheinungsdatum | CVEs laut NVD, davon CVSS ab 9,0 |
|---|---|
| 2026.10, 05.10.2026 (neueste) | keine, nicht im CPE-Wörterbuch |
| 2026.07, 06.07.2026 | keine, nicht im CPE-Wörterbuch |
| 2026.04, 06.04.2026 | keine; tatsächlich mindestens 1 ab 9,0 (CVE-2026-29009) |
| 2026.01, 05.01.2026 | 4 CVEs, davon 1 ab 9,0 |
| 2025.04, 07.04.2025 | 5 CVEs, davon 1 ab 9,0 |
| 2024.04, 02.04.2024 | 11 CVEs, davon 1 ab 9,0 |
| 2023.04, 03.04.2023 | 11 CVEs, davon 1 ab 9,0 |
| 2022.04, 04.04.2022 | 16 CVEs, davon 3 ab 9,0 |
| 2021.01, 11.01.2021 | 18 CVEs, davon 3 ab 9,0 |
| 2020.04, 13.04.2020 | 16 CVEs, davon 3 ab 9,0 |
curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?virtualMatchString=cpe:2.3:a:denx:u-boot:2023.04&noRejected" \
| jq .totalResults11curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?virtualMatchString=cpe:2.3:a:denx:u-boot:2026.01&noRejected" \
| jq .totalResults4Welche U-Boot-CVEs haben CVSS ab 9,0?
| CVE, CVSS (NVD) | Was, Voraussetzung, betroffene Versionen |
|---|---|
| CVE-2026-29009, 9,8 | Pufferüberlauf in nfs_readlink_reply(), wenn U-Boot per NFS lädt (CONFIG_CMD_NFS). Die NVD rechnet bis vor 2026.04; die Korrektur ist aber erst in 2026.07 enthalten, 2026.04 ist also betroffen. |
| CVE-2022-30767, 9,8 | nfs_lookup_reply, eine unvollständige Korrektur von CVE-2019-14196. Bis 2022.04. |
| CVE-2022-34835, 9,8 | Stack-Überlauf im Befehl i2c md. Bis 2022.04. |
Welche U-Boot-CVEs fehlen in der Versionsabfrage?
Elf U-Boot-CVEs, veröffentlicht im August und September 2026, haben in der NVD noch keine Konfiguration und tauchen in keiner Versionsabfrage auf. Laut ihren eigenen Datensätzen betreffen alle elf jede Version bis 2026.01, neun davon auch 2026.04, acht auch 2026.07, und eine auch das neueste Release 2026.10. Drei davon erreichen nach eigener Wertung 9,0 oder mehr.
Zwei CVEs von 2022 (CVE-2022-30790 und CVE-2022-30552) führt die NVD nur für genau 2022.01; Abfragen für 2020.04, 2021.01 und 2022.04 finden sie nicht. CVE-2023-39902 im SPL von U-Boot steht nur unter NXP i.MX 8M, nicht unter U-Boot.
| CVE, Wertung | Was, betroffen laut Datensatz |
|---|---|
| CVE-2025-70290, 9,8 (CISA) | Ganzzahlüberlauf im ZFS-Code, vor 2026.04 |
| CVE-2025-70293, 9,8 (CISA) | Überlauf in ext4fs_get_bgdtable, vor 2026.04 |
| CVE-2026-15390, 9,0 (CERT-PL, CVSS 4.0) | IP-Reassembly mit CONFIG_IP_DEFRAG, Codeausführung, 2009.08 bis vor 2026.07 |
| CVE-2026-71971, 8,2 | Schreiben außerhalb des Puffers in __net_defragment, vor 2026.10-rc3 |
| CVE-2026-74220 und -74221, je 8,2 | Überläufe in nfs_read_reply und nfs_readlink_reply, vor 2026.10-rc5 |
| CVE-2026-74222, 8,2 | Use-after-free im HTTP-Client von wget (lwIP), vor 2026.10-rc5 |
| CVE-2026-74225, 7,1 | dhcp6_parse_options, vor 2026.10-rc5 |
| CVE-2026-71972, 5,9 | video_display_rle8_bitmap; die Korrektur ist nicht in 2026.10, das neueste Release ist betroffen |
| CVE-2026-71973 und -71974, 5,2 und 4,8 | SquashFS-Verzeichnistabelle und Partitionstabelle, vor 2026.10-rc4 bzw. rc3 |
Welche U-Boot-Linien pflegen NXP, ST und TI?
U-Boot erscheint alle drei Monate, jeweils am ersten Montag im Januar, April, Juli und Oktober. Eine LTS-Linie gibt es nicht; Korrektur-Releases der Form 2023.07.02 sind selten. Das nächste Release, 2027.01, ist für den 04.01.2027 angesetzt.
In Industrie-Gateways steckt meist der U-Boot-Stand des Chip-Herstellers, nicht ein Upstream-Release. NXP pflegt uboot-imx mit Zweigen von lf_v2021.04 bis lf_v2026.04, ST für STM32MP v2026.04-stm32mp-r1, TI ti-u-boot-2023.04 bis ti-u-boot-2026.01. Maßgeblich ist, welche Korrekturen der Hersteller in seinen Zweig übernommen hat.
Wo steht die U-Boot-Version im Image?
U-Boot schreibt seine Version als zusammenhängenden Text ins Image und gibt sie beim Start aus, etwa „U-Boot 2023.04 (Apr 03 2023 - 12:00:00 +0000)“, dazu im SPL „U-Boot SPL 2026.10“. Der Text steht in version_string, bis 2023 in cmd/version.c, ab 2024.04 in common/version.c. Hersteller hängen oft eine eigene Kennung an, etwa einen Git-Hash oder einen Zweignamen.
curl -s https:/Ausgabe
21:const char version_string[] = U_BOOT_VERSION_STRING;Wie prüfe ich das von Hand?
- 1
Version lesen:
strings -a u-boot.bin | grep -m1 "U-Boot 20", im Quellbaum aus demMakefile(VERSION,PATCHLEVEL). - 2
Herkunft klären: Upstream-Release oder Zweig des Chip-Herstellers (NXP, ST, TI).
- 3
NVD abfragen mit
cpe:2.3:a:denx:u-boot:<Version>; für 2026.07 und neuer gibt es noch keinen Eintrag. - 4
Die CVEs ohne NVD-Konfiguration gegen Ihre Version lesen, etwa in den Sicherheitsseiten von Debian zu U-Boot.
- 5
Konfiguration prüfen: viele Lücken betreffen NFS, TCP, IP-Reassembly oder einzelne Dateisysteme und gelten nur, wenn diese Teile im Build sind (
.config). - 6
Den KEV-Katalog der CISA auf aktiv ausgenutzte Lücken prüfen.
Geht das auch automatisch?
LegacyMind liest aus dem Image den Bootloader, den Kernel und die Pakete mit ihren Versionen und gleicht jede gegen die Schwachstellenquellen ab, mit der Fundstelle im Image. Belegt das Image keine Version, bleibt das Feld leer.
Häufige Fragen
Ist U-Boot 2026.10 frei von bekannten Lücken?
Nein. Die NVD zählt dafür keine CVE, weil 2026.10 noch nicht im CPE-Wörterbuch steht. Die Korrektur von CVE-2026-71972 ist aber nicht in 2026.10 enthalten.
Wie viele CVEs hat U-Boot 2023.04?
Die NVD führt am 27.10.2026 11, davon eine ab 9,0. Dazu kommen die elf CVEs ohne NVD-Konfiguration, die laut ihren Datensätzen auch 2023.04 betreffen.
Wird eine U-Boot-Lücke aktiv ausgenutzt?
Stand 27.10.2026 steht keine U-Boot-Lücke im Katalog aktiv ausgenutzter Schwachstellen der CISA (Katalogversion 2026.10.26).
Gibt es eine LTS-Version von U-Boot?
Nein. U-Boot erscheint alle drei Monate ohne LTS-Linie. Langfristig gepflegte Stände kommen von den Chip-Herstellern, etwa NXP lf_v2023.04 oder TI ti-u-boot-2023.04.