嵌入数百万设备中的文件系统曝出未修补漏洞
导语：安全公司 runZero 披露 FatFs 文件系统库中存在七个未修补漏洞，影响数百万嵌入式设备。FatFs 广泛用于安全摄像头、无人机、工业控制器、硬件加密钱包等设备，最严重情况下可导致物理接触后设备被完全控制。
FatFs 中的七个未修补漏洞
安全公司 runZero 披露了 FatFs 中的七个漏洞。FatFs 是一个小型文件系统库，允许设备读写 U 盘和 SD 卡所使用的 FAT 和 exFAT 格式。
这些漏洞之所以重要，是因为 FatFs 几乎无处不在。它被嵌入到运行安全摄像头、无人机、工业控制器、硬件加密钱包以及其他基于实时操作系统构建的设备的固件中。
在最严重受影响的系统上，攻击者只要将一个经过特殊构造的 U 盘、SD 卡或更新文件接入设备，就可以破坏其内存并执行自己的代码。
许多嵌入式设备缺乏手机和桌面上常见的内存保护机制，这也是 runZero 所说的”任何物理接触都等同于越狱”的原因。公共自助终端、带 SD 卡槽的摄像头、ATM 或带有 USB 接口的投票机，本不应在短暂物理接触后就交出全部控制权，但在这里却可能发生。
漏洞的共同触发方式
这七个漏洞的基本触发方式相同。设备尝试读取一个被故意损坏的存储卷或固件镜像时，FatFs 对错误数据的处理就会出问题。runZero 将这组漏洞评为 CVSS 中危至高危，没有严重级别。
核心漏洞：CVE-2026-6682
最引人注目的漏洞是 CVE-2026-6682（CVSS 7.6），它是挂载 FAT32 卷的代码中存在的一个整数溢出。错误的运算会产生一个虚假的文件大小，后续代码会将其当作真实的读取长度来处理。在真实硬件上，这可能导致内存损坏和代码执行。
维护者难以联系
困难之处在于，FatFs 由一位开发者在互联网上的一个不起眼的角落维护。runZero 表示，他们曾多次尝试联系该维护者，并请日本 JPCERT/CC 协调中心协助，但均未得到回应。
据 runZero 描述，针对内存损坏类漏洞目前没有上游修复方案，没有安全邮件列表，众多集成了 FatFs 的产品也无法获知自己是否受影响。更新代码有助于解决 GPT 卡死的问题，因为当前版本已对该问题进行了屏蔽，但其余漏洞只能依赖下游厂商自行修补。
受影响平台
runZero 列出了受影响的平台，包括 Espressif ESP-IDF、STMicroelectronics STM32Cube、Zephyr、MicroPython、ArduPilot、RT-Thread、Mbed、Samsung TizenRT 以及 SWUpdate 更新器。这意味着问题被进一步推向下游的消费物联网设备、工业设备、无人机和加密钱包。
截至 runZero 7 月 1 日披露时，尚未有利用这些漏洞的攻击报告，此后再无相关报告出现。但利用素材已经公开：runZero 在配套仓库中发布了概念验证磁盘镜像、测试框架以及一个基于 QEMU 的可用漏洞利用示例。
应对建议
如果你开发的固件涉及 FAT 或 exFAT 介质，建议非常明确：在产品中找到 FatFs 的副本，审计其外层封装代码，重点检查文件名和文件大小的处理方式，并制定修补计划。
如果你运营受影响的设备，应将物理端口和更新渠道视为攻击面：限制可以插入介质的对象，并关注厂商固件更新动态。
AI 辅助漏洞发现
runZero 早在 2017 年就曾人工审计过 FatFs，但当时没有发现值得报告的问题。2026 年 3 月，团队重新审视了同一份代码，使用了一套现成工具：Visual Studio Code、处于”auto”模式的 GitHub Copilot，以及几个简单的提示词。
大语言模型构建了一个模糊测试工具（fuzzer），即一种持续向代码输入畸形数据直至程序崩溃的工具。它暴露了人工审计遗漏的漏洞，并帮助确认这些漏洞可被利用。
这符合一个日益明显的趋势。2024 年末，Google 的 Big Sleep 智能体在 SQLite 中发现了一个普通模糊测试未能发现的真实可利用内存缺陷。就在上个月，一个自主 AI 智能体在另一个被广泛嵌入的 C 语言库 FFmpeg 中发现了 21 个内存安全缺陷。runZero 的观点十分直白：如果一套基本现成的 AI 流程就能发现这些漏洞，那么任何人都可以，悄悄捂着不公开并不能保护任何人。
修补困境与 PixieFail 先例
修补难题并不陌生。runZero 预计下游修复需要数年而非数日，PixieFail 就是先例：2024 年披露的 EDK II（许多 PC 和服务器品牌背后的固件）网络启动代码中的九个漏洞，厂商修补进度缓慢。FatFs 的情况类似，而其修复链条更加薄弱，因为完全不存在响应及时的上游维护者。
下一步关注
需要关注两件事：FatFs 维护者是否会重新出现并发布补丁，以及集成它的各大平台厂商如何作出回应。在此之前，可以认为大量在售设备仍然在用没有修复方案保护的代码读取不可信的存储介质。
来源信息
来源：The Hacker News
原文链接：https://thehackernews.com/2026/07/unpatched-flaws-disclosed-in-filesystem.html
作者：info@thehackernews.com (The Hacker News)
