CVE-2026-36522

Unberechtigte NaN-Injektion über MAVLink PARAM_SET in ArduPilot ArduPlane

Zusammenfassung

handle_param_set() akzeptiert einen IEEE 754-Gleitkommawert aus einer unberechtigten MAVLink PARAM_SET Nachricht, ohne ihn auf NaN oder Unendlichkeit zu validieren. Der fehlerhafte Wert erreicht einen Gleitkomma-Vergleich (is_equal<float,float>() in AP_Math.cpp) ohne Typ- oder Werteprüfung.

Dabei handelt es sich nicht um eine Schwachstelle zur Codeausführung. Die Auswirkungen sind Denial of Service und Integritätsverletzung.

Auswirkungen

• SITL / Builds mit aktivierten FP-Ausnahmen: Das NaN löst eine Gleitkomma-Ausnahme (SIGFPE) aus und der Autopilot-Prozess bricht ab — Denial of Service.
• Produktionshardware (STM32/Pixhawk), bei der FP-Ausnahmen deaktiviert sind: Der fehlerhafte Wert wird stillschweigend in einen flugkritischen Parameter gespeichert, ohne Absturz und ohne für den Bediener sichtbare Warnung. Dies ist der gefährlichere Fall: Korrumpierte Flugparameter gelangen ohne Hinweis für den Bediener in die Steuerungsmathematik.

Die Validierungslücke befindet sich im gemeinsamen Parameter-Handler, sodass alle float-typisierten Parameter betroffen sind.

Proof of Concept

Eine einzelne unberechtigte PARAM_SET Nachricht, die ein Quiet-NaN (0x7FC00000) enthält und auf ARSPD_FBW_MIN abzielt:

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

Siehe poc/CVE-2026-36522.py.

Beweise

Erfasster SITL-Stacktrace (stacktrace.txt), der zeigt, wie die externe Eingabe den ungeschützten Vergleich erreicht:

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

Die Aufrufkette (update_receive -> packetReceived -> handle_common_message -> handle_param_set) bestätigt, dass der Pfad von unberechtigter Netzwerkeingabe aus erreichbar ist.

Abhilfe

Validieren Sie den eingehenden Wert vor der Verwendung:

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

Offenlegungszeitplan

Danksagung

Sebastien Arseneault — Deep Woods Security