Sette vulnerabilità scoperte nella libreria filesystem FatFs utilizzata nei dispositivi embedded

I ricercatori di sicurezza di runZero hanno divulgato sette vulnerabilità in FatFs, una libreria filesystem compatta ampiamente integrata nel firmware dei dispositivi che leggono e scrivono supporti FAT ed exFAT. Il software è utilizzato in prodotti che spaziano dalle telecamere di sicurezza e dai droni ai controllori industriali, ai portafogli hardware e ad altri sistemi basati su sistemi operativi real-time.

I problemi sono significativi perché molti dispositivi embedded non includono le protezioni della memoria comuni su laptop e smartphone. In alcuni casi, un’unità USB, una scheda SD o un’immagine firmware dannosa potrebbe causare corruzione della memoria, arresti anomali, fughe di dati o persino l’esecuzione di codice. runZero ha osservato che, sui dispositivi esposti, l’accesso fisico a una porta o a uno slot di memoria può essere sufficiente per provocare una compromissione grave.

Cosa è stato scoperto

• CVE-2026-6682 — un overflow di interi durante il montaggio di FAT32 che può causare corruzione della memoria e una possibile esecuzione di codice.
• CVE-2026-6687 — un problema nell’analisi dell’etichetta del volume exFAT che può causare l’overflow di un buffer.
• CVE-2026-6688 — i nomi di file lunghi possono causare l’overflow del codice che integra FatFs nei progetti a valle.
• CVE-2026-6685 — un errore matematico nella gestione della cache che può danneggiare i dati su volumi frammentati.
• CVE-2026-6683 — una condizione di divisione per zero in exFAT che può causare l’arresto anomalo dei dispositivi.
• CVE-2026-6686 — una vulnerabilità che può esporre residui di file precedentemente eliminati.
• CVE-2026-6684 — una tabella delle partizioni GPT malformata può bloccare un dispositivo durante il montaggio.

Secondo runZero, solo uno dei sette problemi è stato risolto in una versione upstream di FatFs. Gli altri bug sembrano richiedere interventi da parte dei fornitori a valle che integrano la libreria nei propri stack firmware. L’azienda ha dichiarato di aver tentato di contattare il manutentore e di aver coinvolto anche il JPCERT/CC giapponese, senza tuttavia ricevere risposta.

Gli ambienti interessati possono includere Espressif ESP-IDF, STM32Cube, Zephyr, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT e SWUpdate. Ciò pone a carico dei produttori di dispositivi l’onere di individuare dove viene utilizzato FatFs e di esaminare il codice wrapper, la gestione dei nomi di file e la logica relativa alle dimensioni dei file.

runZero ha dichiarato di non aver osservato attività di sfruttamento in corso al momento della divulgazione, ma ha pubblicato materiali proof-of-concept e una dimostrazione dell’exploit per supportare i test e la correzione delle vulnerabilità. Il team ha inoltre sottolineato il ruolo dello sviluppo assistito dall’intelligenza artificiale e del fuzzing nell’individuazione di bug sfuggiti alle precedenti revisioni manuali.

Per le organizzazioni e i consumatori che utilizzano dispositivi interessati, il consiglio pratico è limitare l’uso di supporti fisici non affidabili, esaminare attentamente gli aggiornamenti del firmware e monitorare la disponibilità di patch da parte dei fornitori.