Обнаружены семь уязвимостей в файловой системе FatFs, используемой в миллионах встраиваемых устройств, таких как камеры, дроны и криптокошельки. Эти уязвимости могут позволить злоумышленнику получить несанкционированный доступ к устройствам, если он смог физически подключить вредоносный USB-накопитель или SD-карту.
Что такое FatFs и почему это важно
FatFs — это библиотека, обеспечивающая работу с файловыми системами FAT и exFAT. Она присутствует в прошивках множества устройств, работающих на реальных операционных системах. Устройства, такие как публичные терминалы, банкоматы и системы голосования, могут быть уязвимыми к атакам при наличии физического доступа.
Характеристики обнаруженных уязвимостей
Исследовательская компания runZero оценивает уязвимости по шкале CVSS как средние и высокие — одно из ключевых уязвимостей, CVE-2026-6682, связано с переполнением целочисленного значения при монтировании FAT32. Эта уязвимость позволяет злоумышленникам вызвать повреждение памяти и выполнение собственного кода. У тех, кто использует FatFs, есть повод насторожиться, так как система не предоставляет фиксированного решения для большинства уязвимостей, кроме одной, уже исправленной в версии FatFs R0.16.
Также выделяют две другие критически важные уязвимости: CVE-2026-6687, содержащая переполнение буфера, и CVE-2026-6688, связанная с переполнением длинных имен файлов. Все эти уязвимости позволяют существенно ослабить безопасность конечного устройства.
Что это значит для бизнеса и разработчиков
Организациям, разрабатывающим прошивки с использованием FatFs, необходимо уделить особое внимание кода и обновить библиотеки. Без этого атаки, даже незаметные, могут привести к серьезным последствиям, включая утечку данных и несанкционированные операции. Даже если на данный момент атак с использованием этих уязвимостей не зафиксировано, потенциальные эксперименты с открытым кодом уже ведутся.
Подводя итог, компании должны внимательно пересмотреть свои продукты, используя FatFs, и начать работы по устранению возможных уязвимостей, чтобы защитить свои устройства и пользователей от атак.
Подробности о будущих обновлениях и исправлениях будут важны для всех производителей встроенных систем, так как целевая аудитория расширяется, а угроза возрастает.