CVE-2026-36522

ArduPilot ArduPlane에서 MAVLink PARAM_SET을 통한 인증되지 않은 NaN 주입

요약

handle_param_set()은 인증되지 않은 MAVLink PARAM_SET 메시지로부터 IEEE 754 부동소수점 값을 수신할 때 NaN 또는 무한대 유효성 검사를 수행하지 않습니다. 변형된 값은 유형 또는 값 검사 없이 부동소수점 비교(AP_Math.cpp의 is_equal<float,float>())에 도달합니다.

이는 코드 실행 취약점이 아닙니다. 영향은 서비스 거부 및 무결성 손상입니다.

영향

• SITL / FP 예외가 활성화된 빌드: NaN이 부동소수점 예외(SIGFPE)를 트리거하고 자동조종 프로세스가 중단됩니다 — 서비스 거부.
• FP 예외가 비활성화된 프로덕션 하드웨어(STM32/Pixhawk): 변형된 값이 비행에 중요한 매개변수에 조용히 저장되며, 충돌이나 운영자가 볼 수 있는 경고가 발생하지 않습니다. 이것이 더 위험한 경우입니다: 손상된 비행 매개변수가 운영자에게 아무런 표시 없이 제어 수학에 전파됩니다.

검증 결함은 공통 매개변수 핸들러에 있으므로 모든 부동소수점 유형 매개변수가 영향을 받습니다.

개념 증명

ARSPD_FBW_MIN을 대상으로 하는 조용한 NaN(0x7FC00000)을 전달하는 단일 인증되지 않은 PARAM_SET:

python3 poc/CVE-2026-36522.py [host:port]    # 기본값 tcp:127.0.0.1:5760

poc/CVE-2026-36522.py를 참조하십시오.

증거

캡처된 SITL 스택 추적(stacktrace.txt)은 외부 입력이 보호되지 않은 비교에 도달하는 것을 보여줍니다:

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

호출 체인(update_receive -> packetReceived -> handle_common_message -> handle_param_set)은 인증되지 않은 네트워크 입력에서 해당 경로에 도달할 수 있음을 확인합니다.

수정 방법

사용하기 전에 수신 값을 검증하십시오:

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // 거부: 값이 범위를 벗어남
    return;
}

공개 일정

크레딧

Sebastien Arseneault — Deep Woods Security