CVE-2026-36522

ArduPilot ArduPlane 中通过 MAVLink PARAM_SET 进行的未认证 NaN 注入

摘要

handle_param_set() 接受来自未认证 MAVLink PARAM_SET 消息中的 IEEE 754 浮点值，但未对其验证是否为 NaN 或无穷大。该畸形值会在没有类型或数值检查的情况下到达一个浮点比较（AP_Math.cpp 中的 is_equal<float,float>()）。

这不是一个代码执行漏洞。其影响是拒绝服务和完整性破坏。

影响

• SITL / 启用了 FP 异常的构建： NaN 会触发浮点异常（SIGFPE），自动驾驶进程中止——拒绝服务。
• 生产硬件（STM32/Pixhawk），其中 FP 异常被禁用： 畸形值被静默存储到飞行关键参数中，不会崩溃，也不会向操作员显示任何警告。这是更危险的情况：损坏的飞行参数会在操作员毫无察觉的情况下传播到控制数学计算中。

验证缺口位于通用参数处理器中，因此所有浮点类型参数都会受到影响。

概念验证

一个针对 ARSPD_FBW_MIN 的、携带静默 NaN（0x7FC00000）的单个未认证 PARAM_SET 消息：

python3 poc/CVE-2026-36522.py [host:port]    # default tcp:127.0.0.1:5760

参见 poc/CVE-2026-36522.py。

证据

捕获的 SITL 堆栈跟踪（stacktrace.txt）显示了外部输入到达未受防护的比较操作的过程：

#6  is_equal<float, float> (v_1=nan(0x400000), v_2=0) at AP_Math.cpp:35
#7  GCS_MAVLINK::handle_param_set ... at GCS_Param.cpp:299
    packet = {param_value = nan(0x400000), param_id = "ARSPD_FBW_MIN", param_type = 9}

调用链（update_receive -> packetReceived -> handle_common_message -> handle_param_set）证实了该路径可以从未认证的网络输入到达。

修复方案

在使用之前验证传入的值：

if (isnan(packet.param_value) || isinf(packet.param_value)) {
    // reject: value out of range
    return;
}

披露时间线

致谢

Sebastien Arseneault — Deep Woods Security