CVE-2026-36522

Inyección no autenticada de NaN a través de MAVLink PARAM_SET en ArduPilot ArduPlane

Resumen

handle_param_set() acepta un valor de punto flotante IEEE 754 de un mensaje MAVLink PARAM_SET no autenticado sin validarlo en busca de NaN o infinito. El valor malformado llega a una comparación de punto flotante (is_equal<float,float>() en AP_Math.cpp) sin ninguna comprobación de tipo o valor.

Esto no es una vulnerabilidad de ejecución de código. El impacto es denegación de servicio y corrupción de integridad.

Impacto

• SITL / compilaciones con excepciones de punto flotante (FP) habilitadas: el NaN desencadena una excepción de punto flotante (SIGFPE) y el proceso del piloto automático se aborta — denegación de servicio.
• Hardware de producción (STM32/Pixhawk), donde las excepciones de FP están deshabilitadas: el valor malformado se almacena silenciosamente en un parámetro crítico de vuelo, sin bloqueo ni advertencia visible para el operador. Este es el caso más peligroso: los parámetros de vuelo corruptos se propagan a los cálculos de control sin ninguna indicación para el operador.

La laguna de validación está en el manejador común de parámetros, por lo que todos los parámetros de tipo flotante se ven afectados.

Prueba de concepto

Un único PARAM_SET no autenticado que transporta un NaN silencioso (0x7FC00000) dirigido a ARSPD_FBW_MIN:

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

Consulte poc/CVE-2026-36522.py.

Evidencia

Traza de pila SITL capturada (stacktrace.txt) que muestra la entrada externa alcanzando la comparación sin protección:

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

La cadena de llamadas (update_receive -> packetReceived -> handle_common_message -> handle_param_set) confirma que la ruta es accesible desde una entrada de red no autenticada.

Remediación

Valide el valor entrante antes de usarlo:

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

Cronología de divulgación

Crédito

Sebastien Arseneault — Deep Woods Security