CVE-2026-36522

अप्रमाणित NaN इंजेक्शन MAVLink PARAM_SET द्वारा ArduPilot ArduPlane में

सारांश

handle_param_set() एक अप्रमाणित MAVLink PARAM_SET संदेश से एक IEEE 754 फ़्लोटिंग-पॉइंट मान स्वीकार करता है बिना NaN या अनंत के लिए मान्य किए। गलत मान बिना किसी प्रकार या मान जांच के एक फ़्लोटिंग-पॉइंट तुलना (is_equal<float,float>() में AP_Math.cpp) तक पहुँचता है।

यह नहीं है कोड-निष्पादन भेद्यता। प्रभाव सेवा से वंचित और अखंडता भ्रष्टाचार है।

प्रभाव

• SITL / FP अपवाद सक्षम वाले बिल्ड: NaN एक फ़्लोटिंग-पॉइंट अपवाद (SIGFPE) ट्रिगर करता है और ऑटोपायलट प्रक्रिया समाप्त हो जाती है — सेवा से वंचित।
• उत्पादन हार्डवेयर (STM32/Pixhawk), जहाँ FP अपवाद अक्षम हैं: गलत मान बिना क्रैश और बिना ऑपरेटर-दृश्य चेतावनी के मौन रूप से एक उड़ान-महत्वपूर्ण पैरामीटर में संग्रहीत किया जाता है। यह अधिक खतरनाक मामला है: भ्रष्ट उड़ान पैरामीटर ऑपरेटर को किसी संकेत के बिना नियंत्रण गणित में प्रसारित होते हैं।

सत्यापन अंतराल सामान्य पैरामीटर हैंडलर में है, इसलिए सभी फ्लोट-टाइप पैरामीटर प्रभावित होते हैं।

प्रमाण की अवधारणा

एक एकल अप्रमाणित PARAM_SET एक शांत NaN (0x7FC00000) ले जाने वाला ARSPD_FBW_MIN को लक्षित करता है:

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

देखें poc/CVE-2026-36522.py

साक्ष्य

कैप्चर किया गया SITL स्टैक ट्रेस (stacktrace.txt) बाहरी इनपुट को असुरक्षित तुलना तक पहुँचता हुआ दिखा रहा है:

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

कॉल श्रृंखला (update_receive -> packetReceived -> handle_common_message -> handle_param_set) पुष्टि करती है कि पथ अप्रमाणित नेटवर्क इनपुट से सुलभ है।

उपचार

उपयोग से पहले आने वाले मान को मान्य करें:

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

प्रकटीकरण समयरेखा

श्रेय

Sebastien Arseneault — Deep Woods Security