Sieben Schwachstellen in der in eingebetteten Geräten verwendeten FatFs-Dateisystembibliothek entdeckt

Sicherheitsforscher von runZero haben sieben Schwachstellen in FatFs offengelegt, einer kompakten Dateisystembibliothek, die häufig in Firmware für Geräte eingebettet ist, die FAT- und exFAT-Medien lesen und beschreiben. Die Software wird in Produkten eingesetzt, die von Überwachungskameras und Drohnen bis hin zu Industriecontrollern, Hardware-Wallets und anderen Systemen reichen, die auf Echtzeitbetriebssystemen basieren.

Die Probleme sind bedeutsam, weil viele eingebettete Geräte nicht über die Speicherschutzmechanismen verfügen, die auf Laptops und Smartphones üblich sind. In einigen Fällen könnte ein manipuliertes USB-Laufwerk, eine SD-Karte oder ein Firmware-Image Speicherbeschädigungen, Abstürze, Datenlecks oder sogar die Ausführung von Schadcode auslösen. runZero wies darauf hin, dass bei exponierter Hardware bereits der physische Zugriff auf einen Anschluss oder Speicherkartensteckplatz ausreichen kann, um eine schwerwiegende Kompromittierung zu verursachen.

Was wurde entdeckt?

• CVE-2026-6682 — Ein Integer-Überlauf beim Einbinden von FAT32 kann zu Speicherbeschädigungen und möglicherweise zur Ausführung von Schadcode führen.
• CVE-2026-6687 — Ein Problem bei der Verarbeitung der exFAT-Volume-Bezeichnung kann einen Pufferüberlauf verursachen.
• CVE-2026-6688 — Lange Dateinamen können Code, der FatFs in nachgelagerten Projekten kapselt, zum Überlaufen bringen.
• CVE-2026-6685 — Ein mathematischer Fehler bei der Cache-Verarbeitung kann Daten auf fragmentierten Volumes beschädigen.
• CVE-2026-6683 — Eine Division durch null bei exFAT kann Geräte zum Absturz bringen.
• CVE-2026-6686 — Eine Schwachstelle kann Überreste zuvor gelöschter Dateien offenlegen.
• CVE-2026-6684 — Eine manipulierte GPT-Partitionstabelle kann dazu führen, dass ein Gerät während des Einbindens hängen bleibt.

Nach Angaben von runZero wurde nur eine der sieben Schwachstellen in einer Upstream-Version von FatFs behoben. Für die übrigen Fehler scheinen Korrekturen durch nachgelagerte Anbieter erforderlich zu sein, die die Bibliothek in ihre eigenen Firmware-Stacks integrieren. Das Unternehmen erklärte, es habe versucht, den Maintainer zu kontaktieren, und zudem Japans JPCERT/CC eingeschaltet, jedoch keine Antwort erhalten.

Betroffene Umgebungen können Espressif ESP-IDF, STM32Cube, Zephyr, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT und SWUpdate umfassen. Damit liegt die Verantwortung bei den Geräteherstellern, zu ermitteln, wo FatFs verwendet wird, und Wrapper-Code, die Verarbeitung von Dateinamen sowie die Logik zur Dateigröße zu überprüfen.

runZero erklärte, zum Zeitpunkt der Veröffentlichung keine aktive Ausnutzung beobachtet zu haben, veröffentlichte jedoch Proof-of-Concept-Materialien und eine Exploit-Demonstration, um Tests und die Behebung der Probleme zu unterstützen. Das Team hob außerdem die Rolle KI-gestützter Entwicklung und von Fuzzing bei der Entdeckung von Fehlern hervor, die bei früheren manuellen Prüfungen übersehen worden waren.

Für Organisationen und Verbraucher, die betroffene Geräte verwenden, besteht der praktische Rat darin, nicht vertrauenswürdige physische Medien einzuschränken, Firmware-Updates genau zu prüfen und auf Patches der Anbieter zu achten.