CVE-2026-36522

Injection NaN non authentifiée via MAVLink PARAM_SET dans ArduPilot ArduPlane

Résumé

handle_param_set() accepte une valeur flottante IEEE 754 provenant d'un message MAVLink PARAM_SET non authentifié sans la valider pour NaN ou l'infini. La valeur malformée atteint une comparaison en virgule flottante (is_equal<float,float>() dans AP_Math.cpp) sans vérification de type ou de valeur.

Il ne s'agit pas d'une vulnérabilité d'exécution de code. L'impact est un déni de service et une corruption de l'intégrité.

Impact

• SITL / compilations avec exceptions FP activées : le NaN déclenche une exception virgule flottante (SIGFPE) et le processus autopilote s'arrête — déni de service.
• Matériel de production (STM32/Pixhawk), où les exceptions FP sont désactivées : la valeur malformée est stockée silencieusement dans un paramètre critique de vol, sans plantage ni avertissement visible par l'opérateur. C'est le cas le plus dangereux : les paramètres de vol corrompus se propagent dans les calculs de contrôle sans indication pour l'opérateur.

La lacune de validation se trouve dans le gestionnaire de paramètres commun, donc tous les paramètres de type flottant sont affectés.

Preuve de concept

Un seul PARAM_SET non authentifié transportant un NaN silencieux (0x7FC00000) ciblant ARSPD_FBW_MIN :

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

Voir poc/CVE-2026-36522.py.

Preuves

Trace de pile SITL capturée (stacktrace.txt) montrant l'entrée externe atteignant la comparaison non protégée :

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

La chaîne d'appels (update_receive -> packetReceived -> handle_common_message -> handle_param_set) confirme que le chemin est accessible à partir d'une entrée réseau non authentifiée.

Correction

Valider la valeur entrante avant utilisation :

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

Calendrier de divulgation

Crédits

Sebastien Arseneault — Deep Woods Security