CVE-2026-6682

ÉlevéPublié

FatFs Dépassement d’entier lors du montage d’un volume FAT32

Publié: 1 juil. 2026
Mise à jour: 1 juil. 2026
Attribution de CNA: runZero
Preuve observée: 16 août 2026

CVSS primaire

7,6/ 10Élevé

nvd · CVSS 3.1

CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Estimation de probabilité EPSS

0,3 %

Faible · 30 prochains jours

Percentile: 23,6 %
Date du modèle: 15 oct. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

Dans FatFS R0.16 et versions antérieures, un bogue de dépassement d'entier FAT32 est présent dans mount_volume(), où fasize *= fs->n_fats peut provoquer un enroulement, conduisant à des métadonnées de taille de fichier contrôlées par l'attaquant et à des longueurs de lecture non sûres dans les appelants en aval. Cela correspond à CWE-190 (Dépassement d'entier ou enroulement). Vecteur CVSS v3.1 estimé : CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (7,6, Élevé). La livraison à distance est également possible dans les pipelines OTA/mise à jour. Les vecteurs SSVC CISA estimés sont Exploitation : PoC, Impact technique : Total.

Sources

vulns-2026-fatfs-chanceRecherche
Vulnérabilités de sécurité documentées dans la bibliothèque de système de fichiers embarqué FatFs avec détails CVE, harnais de fuzzing, générateur d'images disque d'exploitation et analyse d'impact sur la chaîne d'approvisionnement à travers des dizaines de projets de firmware en aval.

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.