Güvenlik firması runZero, milyonlarca gömülü cihazda kullanılan FatFs dosya sistemi kitaplığında 7 güvenlik açığı tespit etti. FatFs, USB sürücüler ve SD kartlarda kullanılan FAT ve exFAT formatlarını okuyup yazmaya olanak tanıyan küçük bir kitaplık. Güvenlik kameraları, drone'lar, endüstriyel kontrolörler, donanım kripto cüzdanları ve gerçek zamanlı işletim sistemleri üzerinde çalışan diğer cihazların donanım yazılımlarında bulunuyor. En kötü etkilenen sistemlerde, bir saldırganın cihaza tuzaklanmış bir USB sürücü, SD kart veya güncelleme dosyası yerleştirmesi durumunda bellek bozulması ve kendi kodunu çalıştırma riski bulunuyor.
Keşfedilen 7 güvenlik açığı arasında en kritik olanı CVE-2026-6682 (CVSS 7.6, Yüksek) olarak belirlendi. Bu açık, FAT32 birimini bağlama sırasında tamsayı taşmasına neden olarak bellek bozulmasına ve kod çalıştırmaya yol açıyor. Diğer yüksek önemdeki açıklar arasında exFAT birim etiketi tampon taşması (CVE-2026-6687) ve uzun dosya adlarının taşması (CVE-2026-6688) yer alıyor. Orta önemdeki açıklar ise önbellek yönetiminde matematik hatası (CVE-2026-6685), sıfıra bölme (CVE-2026-6683), dosya sonu sızıntısı (CVE-2026-6686) ve bozuk GPT bölüm tablosu (CVE-2026-6684) olarak sıralanıyor. GPT açığı dışındakiler için henüz resmi bir yama bulunmuyor.
FatFs, tek bir geliştirici tarafından internetin küçük bir köşesinde bakımı yapılan bir kitaplık. runZero, geliştiriciye ulaşmaya çalıştıklarını ancak yanıt alamadıklarını belirtiyor. Bu durum, güvenlik açıklarının düzeltilmesini downstream satıcılara bırakıyor. Etkilenen platformlar arasında Espressif ESP-IDF, STMicroelectronics STM32Cube, Zephyr, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT ve SWUpdate güncelleyicisi yer alıyor. runZero, saldırganların fiziksel erişim yoluyla bu açıkları kullanabileceğine dikkat çekiyor: 'Herhangi bir fiziksel erişim jailbreak'e yol açar.'
Henüz bu açıkları kullanan bir saldırı rapor edilmemiş olsa da, runZero proof-of-concept disk görüntüleri, test araçları ve çalışan bir QEMU tabanlı istismar örneği yayınladı. Bu, açıkların istismar edilebilir olduğunu ve saldırganlar tarafından kullanılabileceğini gösteriyor. runZero, donanım yazılımı geliştiricilerine FatFs kopyalarını bulmalarını, sarmalayıcı kodlarını denetlemelerini, dosya adları ve boyutlarını nasıl işlediklerini gözden geçirmelerini ve yama yapmalarını öneriyor. Kullanıcılar için ise fiziksel bağlantı noktalarını ve güncelleme kanallarını saldırı yüzeyi olarak değerlendirmeleri ve satıcı donanım yazılımı güncellemelerini takip etmeleri tavsiye ediliyor.
