La firma runZero descubrió siete vulnerabilidades en FatFs, una librería de archivos utilizada en drones, cámaras y dispositivos IoT. Estos fallos permitirían a un atacante ejecutar código malicioso mediante el uso de tarjetas SD o USB manipuladas. Debido a que el desarrollador original no ha respondido, los fabricantes de hardware deberán implementar sus propios parches para mitigar el riesgo.





La empresa de seguridad runZero ha revelado siete vulnerabilidades en FatFs [https://elm-chan.org/fsw/ff/], una pequeña biblioteca de sistema de archivos que permite que un dispositivo lea y escriba los formatos FAT y exFAT utilizados en unidades USB y tarjetas SD.

Estos fallos son importantes porque FatFs está en casi todas partes. Se incluye dentro del firmware que ejecutan las cámaras de seguridad, drones, controladores industriales, monederos de criptomonedas por hardware y otros dispositivos basados en sistemas operativos en tiempo real.

En los sistemas más afectados, un atacante que consiga introducir una unidad USB, tarjeta SD o archivo de actualización "trampa" en un dispositivo puede corromper su memoria y ejecutar su propio código.

Muchos dispositivos integrados carecen de las protecciones de memoria que se encuentran en los teléfonos y ordenadores, razón por la cual runZero afirma [https://www.runzero.com/blog/fatfs-bugs/] que "cualquier acceso físico conduce a un jailbreak". Un quiosco público, una cámara con ranura SD, un cajero automático o una máquina de votación con puerto USB no deberían entregar el control total tras un momento de acceso físico, pero aquí es posible.

Los siete errores funcionan de la misma manera básica. El dispositivo intenta leer un volumen de almacenamiento o una imagen de firmware que ha sido deliberadamente malformada, y FatFs gestiona mal los datos erróneos. runZero calificó el conjunto de vulnerabilidades con un CVSS de Medio a Alto, sin ninguna Crítica.

El error principal es el CVE-2026-6682 [https://www.cve.org/CVERecord?id=CVE-2026-6682] (CVSS 7.6), un desbordamiento de enteros en el código que monta un volumen FAT32. Un cálculo erróneo puede producir un tamaño de archivo falso, que el código posterior trata como una longitud de lectura real. En hardware real, esto puede convertirse en corrupción de memoria y ejecución de código.

Aquí tienes los siete, empezando por los peores según la clasificación de runZero:

* CVE-2026-6682 (7.6, Alto): Desbordamiento de enteros al montar FAT32 que provoca corrupción de memoria y posible ejecución de código. Accesible a través de algunas actualizaciones de firmware, no solo mediante medios físicos.
* CVE-2026-6687 (7.6, Alto): Un campo de etiqueta de volumen exFAT desborda un búfer pequeño, dando al atacante un punto de apoyo limpio para la corrupción de memoria.
* CVE-2026-6688 (7.6, Alto): Los nombres de archivo largos desbordan el código envolvente que muchos proyectos ponen alrededor de FatFs, como un strcpy de fno.fname en un búfer fijo. Difícil de solucionar solo dentro de FatFs.
* CVE-2026-6685 (6.1, Medio): Un error de cálculo en el manejo de la caché en volúmenes fragmentados que puede corromper datos silenciosamente.
* CVE-2026-6683 (4.6, Medio): Una división por cero en exFAT que bloquea el dispositivo. En un flujo de actualización, puede dejar el hardware inservible (brick). También accesible a través de algunas actualizaciones de firmware.
* CVE-2026-6686 (4.6, Medio): Un archivo extendido más allá de su final puede filtrar datos residuales de archivos previamente eliminados.
* CVE-2026-6684 (4.6, Medio): Una tabla de particiones GPT malformada (el mapa del disco) puede colgar el dispositivo durante el montaje. Es la única de las siete corregida oficialmente en FatFs R0.16.

Aquí está la parte difícil. FatFs es mantenida por un solo desarrollador en un rincón pequeño de internet, y runZero dice que intentó contactar repetidamente con el mantenedor e involucró al centro de coordinación JPCERT/CC de Japón, sin obtener respuesta.

Según runZero, no hay una corrección oficial para los errores de corrupción de memoria, no hay una lista de correo de seguridad y no hay forma de que los muchos productos que incluyen FatFs sepan que están afectados. Actualizar ayuda con la caída del GPT, ya que la versión actual lo bloquea, pero el resto depende de que los proveedores finales apliquen sus propios parches.

runZero menciona plataformas afectadas, incluyendo Espressif ESP-IDF, STMicroelectronics STM32Cube, Zephyr, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT y el actualizador SWUpdate. Eso traslada el problema a los productos de consumo IoT, equipos industriales, drones y monederos de criptomonedas.

Hasta la divulgación de runZero el 1 de julio, no se habían reportado ataques utilizando estos errores, y no ha surgido ninguno desde entonces. Pero el material de explotación ya es público: runZero proporcionó imágenes de disco de prueba de concepto, un entorno de pruebas y un ejemplo de explotación basado en QEMU en un repositorio complementario [https://github.com/runZeroInc/vulns-2026-fatfs-chance].

Si creas firmware que interactúe con medios FAT o exFAT, el consejo es directo. Busca la copia de FatFs en tu producto, audita el código que lo envuelve, analiza detenidamente cómo manejas los nombres y tamaños de archivo, y planifica el parcheo.

Si utilizas dispositivos afectados, trata los puertos físicos y los canales de actualización como una superficie de ataque: limita quién puede conectar medios y estate atento a las actualizaciones de firmware del proveedor.

Por qué esto sigue sucediendo

runZero auditó FatFs manualmente por primera vez en 2017 y encontró poco que reportar. Al volver en marzo de 2026, el equipo utilizó una configuración estándar sobre el mismo código: Visual Studio Code, GitHub Copilot en modo "auto" y unas cuantas instrucciones sencillas.

El LLM construyó un fuzzer, una herramienta que introduce datos malformados en el código hasta que algo se rompe. Eso reveló errores que la auditoría manual había pasado por alto y ayudó a confirmar que eran explotables.

Esto encaja en un patrón creciente. A finales de 2024, el agente Big Sleep de Google encontró un error de memoria real y explotable en SQLite que el fuzzing ordinario había pasado por alto.

El mes pasado, un agente de IA autónomo reveló 21 errores de seguridad de memoria en FFmpeg, otra biblioteca de C ampliamente integrada. El punto de runZero es contundente: si una canalización de IA estándar puede encontrarlos, cualquiera puede, por lo que guardarlos en secreto no protege a nadie.

El problema del parcheo es familiar. runZero espera que las correcciones de los proveedores finales tarden años, no días, y PixieFail es el precedente: un lote de nueve errores en 2024 en el código de arranque de red de EDK II, el firmware detrás de muchas marcas de PC y servidores, que los proveedores tardaron en parchear. FatFs tiene la misma estructura y una vía de corrección más débil, porque no hay ningún mantenedor oficial que responda.

Vigila dos cosas: si el mantenedor de FatFs reaparece con un parche y cómo responden los grandes proveedores de plataformas que lo incluyen. Hasta que lo hagan, asume que muchos dispositivos que se comercializan leen almacenamiento no confiable con código que no tiene una solución detrás.

Fuente:
THN