Au fost dezvăluite vulnerabilități neactualizate în sistemul de fișiere integrat în milioane de dispozitive embedded

O companie de securitate a dezvăluit șapte vulnerabilități în FatFs, o mică bibliotecă de sistem de fișiere care permite unui dispozitiv să citească și să scrie în formatele FAT și exFAT utilizate pe unitățile USB și cardurile SD.

Aceste vulnerabilități sunt importante deoarece FatFs este prezent aproape peste tot. Acesta este inclus în firmware-ul care rulează pe camere de securitate, drone, controlere industriale, portofele criptografice hardware și alte dispozitive construite pe sisteme de operare în timp real.

Pe sistemele cele mai afectate, un atacator care introduce pe un dispozitiv o unitate USB, un card SD sau un fișier de actualizare compromis poate corupe memoria acestuia și poate rula propriul cod.

Toate cele șapte vulnerabilități funcționează în același mod de bază. Dispozitivul încearcă să citească un volum de stocare sau o imagine de firmware care a fost modificată în mod intenționat, iar FatFs gestionează incorect datele eronate.

Vulnerabilitatea principală este CVE-2026-6682 (scor CvSS: 7.6/10), o eroare de tip integer overflow în codul care încarcă un volum FAT32. Un calcul eronat poate genera o dimensiune falsă a fișierului, pe care codul ulterior o tratează ca pe o lungime reală de citire. Pe hardware real, acest lucru poate duce la coruperea memoriei și la executarea de cod.

Dacă dezvoltați firmware care interacționează cu medii FAT sau exFAT, recomandarea este clară. Identificați copia FatFs din produsul respectiv, verificați codul de încapsulare din jurul acesteia, analizați cu atenție modul în care gestionați numele și dimensiunile fișierelor și planificați aplicarea unui patch.

Dacă utilizați dispozitive afectate, tratați porturile fizice și canalele de actualizare ca pe o suprafață de atac: limitați accesul persoanelor care pot conecta dispozitive de stocare și fiți atenți la actualizările de firmware ale furnizorilor.

Sursă: https://thehackernews.com/2026/07/unpatched-flaws-disclosed-in-filesystem.html