CVE-2026-36522

Injeção de NaN Não Autenticada via MAVLink PARAM_SET no ArduPilot ArduPlane

Resumo

handle_param_set() aceita um valor de ponto flutuante IEEE 754 de uma mensagem MAVLink PARAM_SET não autenticada sem validá-lo quanto a NaN ou infinito. O valor malformado alcança uma comparação de ponto flutuante (is_equal<float,float>() em AP_Math.cpp) sem verificação de tipo ou valor.

Esta não é uma vulnerabilidade de execução de código. O impacto é negação de serviço e corrupção de integridade.

Impacto

• SITL / compilações com exceções de ponto flutuante ativadas: o NaN dispara uma exceção de ponto flutuante (SIGFPE) e o processo do autopiloto é abortado — negação de serviço.
• Hardware de produção (STM32/Pixhawk), onde exceções de ponto flutuante estão desativadas: o valor malformado é armazenado silenciosamente em um parâmetro crítico de voo, sem crash e sem aviso visível ao operador. Este é o caso mais perigoso: parâmetros de voo corrompidos propagam-se na matemática de controle sem nenhuma indicação ao operador.

A lacuna de validação está no manipulador comum de parâmetros, portanto todos os parâmetros de tipo float são afetados.

Prova de Conceito

Um único PARAM_SET não autenticado carregando um NaN silencioso (0x7FC00000) direcionado a ARSPD_FBW_MIN:

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

Consulte poc/CVE-2026-36522.py.

Evidências

Rastreamento de pilha SITL capturado (stacktrace.txt) mostrando a entrada externa alcançando a comparação sem proteção:

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

A cadeia de chamadas (update_receive -> packetReceived -> handle_common_message -> handle_param_set) confirma que o caminho é alcançável a partir de entrada de rede não autenticada.

Remediação

Valide o valor recebido antes do uso:

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

Cronograma de Divulgação

Créditos

Sebastien Arseneault — Deep Woods Security