Fette im Freien: sieben Schwachstellen, die Kameras, Geldautomaten und Drohnen aussetzen

Die RunZero Sicherheitsfirma hat kürzlich eine Batterie von sieben Schwachstellen in FatFs, die leichte C-Bibliothek, die FAT und exFAT-Volumen auf Tausenden von eingebetteten Geräten interpretiert und behandelt. Obwohl der Name technisch klingen kann, ist die Beteiligung direkt: Dies betrifft Kameras, Geldautomaten, öffentliche Kioske, Drohnen, industrielle Controller und Hardware Gabeln, Geräte, die oft SD-Karten oder Pender akzeptieren und Firmware mit wenigen oder keinen modernen Speicherabwehren laufen.

Unter den herausragenden Fehlern ist ein ganzer Überlauf (CVE-2026-6682), der eine falsche Leselänge erzeugen kann und zu Speicherfehlern und Codeausführung führen kann, sowie Fehler in der Verwaltung von Etikettenfeldern und Long-Namen in exFAT, die einen Stützpunkt für die Ausbeutung erhalten können. RunZero qualifiziert die Schwachstellen zwischen Media und High Gravity und erinnert daran, dass viele von einem bösartigen physischen Medium oder einer manipulierten Update-Datei ausnutzbar sind. Nur einer der sieben wird im offiziellen Upstream korrigiert (ein Problemblock, der früher mit fehlerhaften GPT-Tabellen hängt), so dass die meisten Risiken in den Händen von Integratoren und Herstellern.

Das praktische Problem ist die Software Governance: FatFs wird im Wesentlichen von einem einzigen Entwickler gehalten und es gibt keine robuste Outreach-Kanal, Sicherheitsliste oder konsolidierte Antwort, wenn ein Ausfall erkannt wird. Das macht die Korrektur zu einem Puzzle, das oft in Ad-hoc-Patches in jedem SDK und Produkt endet, das die Bibliothek integriert. Das Ergebnis ist ein langes Belichtungsfenster auf bereits eingesetzten Geräten, ähnlich wie frühere Vorfälle, bei denen Unternehmen und Lieferanten Jahre für die Verteilung von Korrekturen genommen haben.

Es gibt eine weitere relevante Lesung: Schwachstellen wurden nicht nur durch manuelle Inspektion entdeckt, sondern auch mit Hilfe eines Flusses von IA-Tools für Fuzzing, die runZero gebaut. Dieser automatisierte Ansatz führte zu Fehlern, die eine vorherige Prüfung nicht erkannte. Dies zeigt, dass Fuzzing-Techniken, die von automatisierten Modellen und Agenten unterstützt werden, sind bereits in der Lage, ausnutzbare Vektoren mit wenig Aufwand zu finden, so halten Schwachstellen ruhig nicht mehr schützt jemand.

Für Firmware-Entwickler und Produktmanager ist die Priorität sofort: die Kopie von FatFs zu lokalisieren, die in ihre Toolchain eingebettet ist und den Code zu bewerten, der Anrufe in die Bibliothek wickelt. Es reicht nicht aus, eine Einheit zu aktualisieren; es ist notwendig, zu überprüfen, wie Dateinamen, Etikettenfelder und Größen, die von der Bibliothek gemeldet werden verwaltet werden, und strenge Validierung von Grenzwerten vor jeder Strcpy, Memmove oder Lesen auf der Grundlage einer Größe, die aus dem Dateisystem kommt. Es ist auch zweckmäßig, mit Speicherabschwächung (z.B. Batterieschutz, ASLR / DEP, wenn RTOS es unterstützt, -fstack-protector, befestigt) zusammenzuarbeiten und Steuerungen in der Laufzeit hinzuzufügen, um anormale Messwerte zu erkennen.

Wenn Sie bereits eingesetzte Geräte verwalten, müssen Sie davon ausgehen, dass physische Ports und Update-Kanäle Risikovektoren sind. Beschränken Sie den physischen Zugriff, deaktivieren Sie das selbst montierte, wenn möglich, benötigen Sie Authentifizierung und Unterschrift für Firmware-Updates und überwachen Sie das Protokoll- und Peripherieverhalten nach Medieneinführungen. In kritischen Umgebungen reduziert das Imposieren von physikalischen Kontrollen (Slot Blocking, Monitoring) und operativen Maßnahmen, auf denen und wie sie abnehmbare Mittel verbinden können, die Wahrscheinlichkeit der Ausbeutung.

Auf koordinierter Ebene sollte die Industrie Best Practices in kritischen Bibliotheken verlangen: nachhaltige Wartung, öffentliche Sicherheitslisten und Patch-Antwort- und Lieferprozesse an nachgelagerte Projekte. Integratoren sollten in der Zwischenzeit Bibliotheken wie FatFs als High-Risiko-Komponenten behandeln und kontinuierliche Sicherheitstests planen, einschließlich gerichteter Fuzzing und Überprüfung der "Wrappers", die jedes Produkt um FatFs implementiert, weil viele Schwachstellen aus Hilfscode kommen, nicht aus der Buchhandlung per se.

Für weitere Informationen lesen Sie die runZero Note und die originale FatFs Dokumentation und nehmen Sie als Referenzsicherheitsführer für IoT-Geräte. Der RunZero-Bericht erklärt Techniken und liefert Konzeptnachweise, und die FatFs-Projektseite bietet Kontext für Wartung und Versionen. Der Bericht von RunZero und die FatFs-Seite ( ChaN - FatFs) nützliche Ausgangspunkte sind. Es wird auch empfohlen, Community-Ressourcen für die IoT-Sicherheit zu überprüfen, um die Betriebs- und Design-Abschwächung zu leiten, wie das OWASP-Projekt für angeschlossene Geräte: OWASP IoT Projekt.

Kurz gesagt, diese FatFs-Versagen erinnern sich daran, dass die Sicherheit der eingebetteten Software-Versorgungskette so schwach ist, wie ihre weniger gut erhaltene Verbindung. Wenn Ihr Produkt FAT / exFAT berührt: identifizieren, überprüfen, parken und mildern; wenn Ihre Organisation Geräte betreibt: reduzieren Sie die physische Angriffsfläche und erfordern Unterschriften und Kontrollen in den Updates. Das reale Fenster kann nur geschlossen werden, wenn Hersteller, Betreuer und Betreiber schnell und transparent handeln.