Siber güvenlik firması runZero, FatFs adlı açık kaynaklı kütüphanede 7 güvenlik açığı tespit etti. FatFs, gömülü cihazların USB sürücüler ve SD kartlarda kullanılan FAT ve exFAT formatlı depolama birimlerini okumasını sağlayan kompakt bir kütüphane. Açıkların şiddet dereceleri CVSS Orta ile Yüksek arasında değişiyor. runZero'nun yayımladığı raporda, AI destekli fuzzing testleriyle daha önce fark edilmeyen kusurların kolayca bulunduğu belirtiliyor.
Açıklar, Espressif ESP-IDF, STMicroelectronics STM32Cube, Zephyr RTOS, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT ve SWUpdate gibi birçok platformu etkiliyor. Bu platformları kullanan tüketici IoT cihazları, endüstriyel kontrolörler, dronlar, donanım kripto cüzdanları gibi geniş bir yelpazedeki cihaz risk altında. Özellikle ASLR gibi bellek koruma mekanizmalarının olmaması, fiziksel erişimin tam kontrol ele geçirilmesine yol açabileceği anlamına geliyor.
Yedi güvenlik açığından ikisi (CVE-2026-6682 ve CVE-2026-6683) kablosuz firmware güncelleme süreçlerini de etkiliyor, bu da saldırı yüzeyini fiziksel medyanın ötesine taşıyor. Açıklar arasında FAT32 tamsayı taşması, exFAT etiket uzunluğu yığın taşması, uzun dosya adı taşması, işaretsiz çıkarma sarması, exFAT sıfıra bölme, başlatılmamış küme ifşası ve GPT bölüm tarama döngüsü yer alıyor.
Teknik Analiz
FatFs tek bir geliştirici tarafından bakılıyor ve runZero'nun geliştiriciye ulaşma çabaları sonuçsuz kaldı. Altı açık için hala yamalar mevcut değil; sadece GPT tarama sorunu R0.16 sürümünde düzeltildi. runZero, kanıt niteliğinde disk görüntüleri ve QEMU tabanlı bir istismar gösterimi yayımladı. Kullanıcıların, ürünlerinde kullandıkları FatFs sürümünü kontrol etmeleri ve mümkünse alternatif dosya sistemlerine geçmeleri öneriliyor.
