آسیب‌پذیری‌های وصله‌نشده در سیستم فایل تعبیه‌شده در میلیون‌ها دستگاه امبدد فاش شد

شرکت امنیتی runZero هفت آسیب‌پذیری در کتابخانه‌ی سیستم فایل (filesystem library) کوچک اما پرکاربرد FatFs کشف و افشا کرده است؛ کتابخانه‌ای که در میان‌افزار (firmware) دوربین‌های امنیتی، پهپادها، کنترلرهای صنعتی، کیف پول‌های سخت‌افزاری ارز دیجیتال و بسیاری از دستگاه‌های مبتنی بر سیستم‌عامل‌های بلادرنگ (real-time operating systems) جاسازی شده است. خطرناک‌ترین این نقص‌ها، CVE-2026-6682 با امتیاز CVSS 7.6، یک سرریز عدد صحیح (integer overflow) در فرآیند نصب (mount) حجم FAT32 است که می‌تواند به فساد حافظه (memory corruption) و اجرای کد مخرب منجر شود. مهاجمی که بتواند یک درایو USB، کارت SD یا فایل به‌روزرسانی دستکاری‌شده را به دستگاه آسیب‌پذیر برساند، می‌تواند کنترل کامل آن را در دست بگیرد؛ runZero هشدار داده که در بسیاری از دستگاه‌های جاسازی‌شده «هر دسترسی فیزیکی به جیلبریک (jailbreak) منجر می‌شود».

پیچیدگی اصلی ماجرا اینجاست که FatFs تنها توسط یک توسعه‌دهنده نگهداری می‌شود و runZero اعلام کرده با وجود تلاش‌های مکرر و مشارکت مرکز هماهنگی JPCERT/CC ژاپن، هیچ پاسخی از سوی نگهدارنده دریافت نکرده است. از میان هفت آسیب‌پذیری، تنها یکی (CVE-2026-6684 مربوط به جدول پارتیشن GPT) در نسخه R0.16 رفع شده و بقیه بدون وصله (patch) رسمی باقی مانده‌اند. پلتفرم‌های آسیب‌دیده شامل Espressif ESP-IDF، STM32Cube، Zephyr، MicroPython، ArduPilot و Samsung TizenRT می‌شوند. runZero کدهای اثبات مفهوم (proof-of-concept) را نیز منتشر کرده و تأکید کرده که این آسیب‌پذیری‌ها با استفاده از ابزارهای هوش مصنوعی از جمله GitHub Copilot کشف شده‌اند، که نشان می‌دهد مهاجمان نیز می‌توانند به همین شکل عمل کنند.