CVE-2026-36522

Неаутентифицированная инъекция NaN через MAVLink PARAM_SET в ArduPilot ArduPlane

Краткое описание

handle_param_set() принимает значение IEEE 754 с плавающей запятой из неаутентифицированного сообщения MAVLink PARAM_SET без проверки на NaN или бесконечность. Неверное значение попадает в сравнение чисел с плавающей запятой (is_equal<float,float>() в AP_Math.cpp) без какой-либо проверки типа или значения.

Это не уязвимость, ведущая к выполнению кода. Воздействие заключается в отказе в обслуживании и нарушении целостности.

Воздействие

• SITL / сборки с включёнными исключениями FP: NaN вызывает исключение плавающей запятой (SIGFPE), и процесс автопилота аварийно завершается — отказ в обслуживании.
• Производственное оборудование (STM32/Pixhawk), где исключения FP отключены: неверное значение молча сохраняется в критичный для полёта параметр, без аварийного завершения и видимого оператору предупреждения. Это более опасный случай: повреждённые полётные параметры попадают в управляющую математику без какого-либо указания оператору.

Пробел в проверке находится в общем обработчике параметров, поэтому затрагиваются все параметры с плавающим типом.

Доказательство концепции

Одно неаутентифицированное сообщение PARAM_SET, содержащее тихий NaN (0x7FC00000), нацеленное на ARSPD_FBW_MIN:

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

См. poc/CVE-2026-36522.py.

Доказательства

Снятый стек-трейс SITL (stacktrace.txt), показывающий, как внешние входные данные достигают незащищённого сравнения:

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

Цепочка вызовов (update_receive -> packetReceived -> handle_common_message -> handle_param_set) подтверждает, что путь доступен из неаутентифицированного сетевого ввода.

Устранение

Проверяйте входящее значение перед использованием:

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

График раскрытия

Автор

Sebastien Arseneault — Deep Woods Security