Sept failles découvertes dans la bibliothèque de systèmes de fichiers FatFs utilisée dans les appareils embarqués

Des chercheurs en sécurité de runZero ont révélé sept vulnérabilités dans FatFs, une bibliothèque compacte de systèmes de fichiers largement intégrée aux micrologiciels d’appareils qui lisent et écrivent sur des supports FAT et exFAT. Le logiciel est utilisé dans des produits allant des caméras de sécurité et des drones aux contrôleurs industriels, aux portefeuilles matériels et à d’autres systèmes reposant sur des systèmes d’exploitation temps réel.

Ces problèmes sont importants, car de nombreux appareils embarqués n’intègrent pas les protections mémoire courantes sur les ordinateurs portables et les smartphones. Dans certains cas, une clé USB, une carte SD ou une image de micrologiciel malveillante pourrait provoquer une corruption de la mémoire, des plantages, des fuites de données, voire l’exécution de code. runZero a indiqué que, sur les appareils exposés, un accès physique à un port ou à un emplacement de stockage peut suffire à entraîner une compromission grave.

Découvertes effectuées

• CVE-2026-6682 — un dépassement d’entier lors du montage d’un volume FAT32 pouvant entraîner une corruption de la mémoire et éventuellement l’exécution de code.
• CVE-2026-6687 — un problème d’analyse de l’étiquette de volume exFAT pouvant provoquer un dépassement de tampon.
• CVE-2026-6688 — les noms de fichiers longs peuvent provoquer un dépassement dans le code qui encapsule FatFs dans les projets en aval.
• CVE-2026-6685 — une erreur mathématique dans la gestion du cache pouvant corrompre les données sur les volumes fragmentés.
• CVE-2026-6683 — une division par zéro dans exFAT pouvant faire planter les appareils.
• CVE-2026-6686 — une faille pouvant exposer des fragments d’anciens fichiers supprimés.
• CVE-2026-6684 — une table de partitions GPT malformée pouvant bloquer un appareil lors du montage.

Selon runZero, une seule des sept failles a été corrigée dans une version amont de FatFs. Les autres bogues semblent nécessiter des correctifs de la part des fournisseurs en aval qui intègrent la bibliothèque à leurs propres piles de micrologiciels. L’entreprise a indiqué avoir tenté de contacter le mainteneur et avoir également sollicité le JPCERT/CC japonais, sans obtenir de réponse.

Les environnements concernés peuvent notamment inclure Espressif ESP-IDF, STM32Cube, Zephyr, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT et SWUpdate. Il incombe donc aux fabricants d’appareils d’identifier les endroits où FatFs est utilisé et d’examiner le code d’encapsulation, la gestion des noms de fichiers et la logique de taille des fichiers.

runZero a indiqué n’avoir constaté aucune exploitation active au moment de la divulgation, mais a publié des éléments de preuve de concept ainsi qu’une démonstration d’exploitation afin de faciliter les tests et la remédiation. L’équipe a également souligné le rôle du développement assisté par l’IA et du fuzzing dans la découverte de bogues qui avaient échappé aux précédentes vérifications manuelles.

Pour les organisations et les particuliers utilisant des appareils concernés, les recommandations pratiques consistent à limiter l’utilisation de supports physiques non fiables, à examiner attentivement les mises à jour de micrologiciels et à surveiller la publication de correctifs par les fournisseurs.