截断的 `fasize` 导致 `fs->database`（数据区起始位置）落入 FAT 区域。控制磁盘镜像的攻击者可以在重叠扇区放置伪造的目录项，使 `f_stat()` 返回攻击者控制的 `finfo.fsize`。任何调用 `f_read(fp, buf, finfo.fsize, &br)` 但未对计数进行 `sizeof(buf)` 边界限制的应用程序，都会导致目标缓冲区被完全由攻击者控制的字节溢出——这是通向 RCE 的直接路径。

**最坏影响：** 在从 FatFs 读取文件大小并将其用作读取长度的任何嵌入式设备上，可实现远程代码执行（堆或栈溢出）。

---

### CVE-2026-6683 - `sync_fs()` 中的除零错误（exFAT）

**位置：** `ff.c` `sync_fs()` - `(n_fatent - 2 - free_clst) * 100 / (n_fatent - 2)`

当 `BPB_NumClusEx = 0` 时，`n_fatent = 2`，使得除数 `(n_fatent - 2) = 0`。在对精心构造的 exFAT 卷执行任何写入或同步操作时都会触发此问题，产生 SIGFPE / 硬件故障并导致目标崩溃。

FatFs R0.16 在挂载时部分地对此进行了防护（当 `NumClusEx = 0` 时，位图簇验证失败）。旧版本——R0.14b（ArduPilot、Mbed OS）、R0.15（RIOT OS、STM32）、R0.13c（MicroPython）——没有此类防护，会无条件崩溃。

**最坏影响：** 对精心构造的 exFAT 卷进行任何写入操作时，导致拒绝服务/系统崩溃。在 OTA 更新期间，这可能会使设备变砖。

---

### CVE-2026-6684 - `find_volume()` 中无限制的 GPT 分区扫描循环（R0.16 之前）

**位置：** `ff.c` `find_volume()` - `for (i = 0; i < n_ent; i++) disk_read()`

当 `FF_LBA64 = 1` 时，`find_volume()` 遍历每个 GPT 分区条目以搜索 FAT 分区。在 R0.16 之前的构建中，循环次数直接取自磁盘上的 `GPTH_PtNum` 字段（0–0xFFFFFFFF），没有上限。精心构造的 GPT 镜像将 `GPTH_PtNum = 0xFFFFFFFF` 会导致大约十亿次磁盘读取，然后函数返回“未找到”，使系统永久挂起。

R0.16 引入了 `test_gpt_header()`，它在进入循环前验证 CRC32 并强制 `PtNum ≤ 128`。

**最坏影响：** 永久性的挂载时拒绝服务。在没有看门狗的设备上（引导加载器、裸机 FPGA 引导 ROM），这会永久性地使系统变砖。

### CVE-2026-6686 - 通过 `f_lseek()` 超出 EOF 导致的未初始化簇数据

**位置：** `ff.c` `f_lseek()`:```c
if (!FF_FS_READONLY && fp->fptr > fp->obj.objsize) {
    fp->obj.objsize = fp->fptr;   // extend, but never zero-fill
    fp->flag |= FA_MODIFIED;
}

exFAT规范将`XDIR_NumLabel`限制为11个字符。FatFs将其作为原始`BYTE`（0–255）读取，不做任何验证。精心构造的卷中的`XDIR_NumLabel = 128`会导致`f_getlabel`向调用者的缓冲区写入128个字符——通常是STM32CubeMX生成的`char label[12]`或`char label[24]`——从而溢出堆栈多达244字节。

**最坏情况影响：** 在exFAT卷上，任何调用`f_getlabel()`的函数都存在堆栈缓冲区溢出。典型的漏洞模式（`char label[12]`）出现在STM32CubeMX、AN3224和UM1721生成的每个项目中。

---

### CVE-2026-6688 - 通过长LFN文件名导致调用者堆栈/堆溢出

**根本原因：** 当启用`FF_USE_LFN`时，`f_readdir()`会用完整的Long File Name填充`fno.fname`——最多`FF_LFN_BUF`（255）个字符。仅针对SFN操作编写的调用者使用固定大小的路径或名称缓冲区（例如`char path[16]`、`char name[14]`），并在没有边界检查的情况下复制`fno.fname`。

在多个项目中发现的常见漏洞模式：```c
strcpy(entry->name, fno.fname);          // Zephyr: entry->name[14]
sprintf(path, "0:/%s", fno.fname);       // NodeMCU, ChibiOS demo, StarryPilot
sprintf(&cur_path[n], "/%s", fn);        // Samsung TizenRT

---

## Harness 构建目标

所有目标均从 `harness/` 目录运行。需要 `clang`（或设置 `CC=gcc`）。

要在 macOS 上构建 `afl` 目标，请使用 `brew install afl++`，然后运行 `sudo afl-system-config` 来准备系统。

| 目标 | 描述 |
|--------|-------------|
| `make` / `make test` | 构建并运行带 ASan + UBSan 的确定性测试套件 |
| `make rce_demo` | 构建并运行 CVE-2026-6682 RCE 演示（无 Sanitizers，无栈保护） |
| `make exploit_disks` | 构建并生成全部 14 个漏洞利用磁盘镜像到 `harness/img/` |
| `make fuzz_asan` | 构建 libFuzzer 二进制文件（`build/fuzz_fatfs`） |
| `make afl` | 构建 AFL++ 目标（需要 `afl-clang-fast` 在 `PATH` 中） |
| `make corpus` | 通过 Go 生成器生成种子语料库到 `harness/corpus/` |
| `make clean` | 移除 `build/` 和 `img/` |

### 快速开始```sh
# Run the full deterministic test suite
cd harness && make

# Run the CVE-2026-6682 RCE demo
make rce_demo

# Generate all exploit disk images
make exploit_disks

# Fuzz with libFuzzer (requires clang)
make fuzz_asan
build/fuzz_fatfs -max_len=2097152 corpus/

# Fuzz with AFL++
make corpus afl
afl-fuzz -i corpus/ -o findings/ -- build/afl_fatfs @@

| Image | Bug | 目标项目 | 效果 |
|-------|-----|----------|--------|
| `exploit_bug1_fat32.img` | CVE-2026-6682 | 通用 | 通过 `f_read` 传递指针大小的有效载荷 |
| `exploit_bug1_espidf.img` | CVE-2026-6682 | espressif/esp-idf | `finfo.fsize=16 MB` → `malloc`/`fread` 堆溢出 |
| `exploit_bug1_stm32.img` | CVE-2026-6682 | STMicro stm32-mw-fatfs | `finfo.fsize=1 MB` → 1 KB 固件缓冲区溢出 |
| `exploit_bug1_keystone3.img` | CVE-2026-6682 | KeystoneHQ wallet | `finfo.fsize=512 KB` → OTA 缓冲区溢出 |
| `exploit_bug1_ardupilot.img` | CVE-2026-6682 | ArduPilot / Mbed OS / RIOT / MicroPython | `finfo.fsize=2 MB` → 日志读取缓冲区溢出 |
| `exploit_bug2_exfat.img` | CVE-2026-6683 | ArduPilot / Mbed OS / MicroPython / RIOT | `BPB_NumClusEx=0` → `sync_fs` 除零错误（在 pre-R0.16 上为 SIGFPE） |
| `exploit_bug3_gpt.img` | CVE-2026-6684 | vivado-risc-v / tinyuf2 / circle | `GPTH_PtNum=0xFFFFFFFF` → 启动时无限循环（pre-R0.16） |
| `exploit_bug5_stale.img` | CVE-2026-6686 | RT-Thread / tinyuf2 / ArduPilot / RIOT | `f_lseek` 扩展暴露了以 `0xAA` 填充的已删除簇数据 |
| `exploit_bug6_stm32.img` | CVE-2026-6687 | STMicro stm32-mw-fatfs | `XDIR_NumLabel=128` → CubeMX `label[12]` 的 117 字节溢出 |
| `exploit_bug6_zephyr.img` | CVE-2026-6687 | Zephyr / ArduPilot / RIOT / MicroPython | `XDIR_NumLabel=255` → `label[24]` 的 216 字节溢出 |
| `exploit_bug7_max255.img` | CVE-2026-6688 | NodeMCU / ChibiOS / StarryPilot / TizenRT | 255 字符的 LFN 溢出任何小于 255 字节的固定缓冲区 |
| `exploit_bug7_zephyr.img` | CVE-2026-6688 | Zephyr | 14 字符的 LFN → `entry->name[14]` 的 1 字节 NUL 溢出 |
| `exploit_bug7_grblhal.img` | CVE-2026-6688 | grblHAL | 差一错误：保护检查上一个条目；11 字符的 LFN 以 1 个 NUL 字节溢出 `dirent.name[12]` |

---

## 确定性测试套件（`test_harness.c`）

测试工具通过内存中构建的手工磁盘镜像测试六个漏洞，然后确认已到达易受攻击的代码路径：

- **CVE-2026-6682** - 构建一个 `BPB_FATSz32=0x80000001` 的 FAT32 镜像，挂载它，并确认 `fs.database` 落在 FAT 区域内；然后执行完整的 RCE 链（伪造目录项 → `f_read` 读取植入的函数指针 → 调用 `rce_proof_of_execution()`）。
- **CVE-2026-6683** - 记录 `(n_fatent-2)` 除数并确认运算路径；检查 R0.16 在挂载时拒绝该镜像。
- **CVE-2026-6684** - 构建一个 `GPTH_PtNum=0xFFFFFFFF` 的 GPT 镜像，并确认 R0.16 通过 `test_gpt_header()` 在 ≤ 3 次磁盘读取内拒绝它。
- **CVE-2026-6686** - 用 `0xAA` 预填充所有数据簇，写入一个短文件，通过 `f_lseek` 扩展它，并回读以确认可见的陈旧字节。
- **CVE-2026-6687** - 构建一个带有 `XDIR_NumLabel=128` 的 exFAT 镜像，调用 `f_getlabel` 到探测缓冲区，并统计超过第 24 字节的溢出。
- **CVE-2026-6688** - 构建一个包含 50 字符 LFN 的 FAT16 目录，通过 `f_readdir` 读取它，并确认 `fno.fname` 长度超过典型调用者的缓冲区。

## CVE-2026-6682 RCE 演示（`rce_demo.c`）

一个自包含、真实的 CVE-2026-6682 利用链演示，模拟嵌入式 OTA 固件更新代码。 声明了一个结构体，其中包含一个固定大小的头部缓冲区，后面紧跟着一个函数指针回调：```c
typedef struct {
    uint8_t  fw_header[128];   // buffer the developer reads into
    uint32_t crc32;
    uint32_t version;
    void   (*on_apply)(void);  // callback - attacker target
} ota_ctx_t;

或者，另一种方式是：```
docker build -t fatfs-esp32-vuln-test esp32-qemu-test/
docker run --rm fatfs-esp32-vuln-test

使用包含长文件名的精心构造的FAT镜像，这些复制操作会溢出调用方缓冲区。

### 此仓库中的PoC链

| 步骤 | 描述 | 标记 |
|------|------|------|
| 1 | 精心构造的存储镜像挂载并返回攻击者控制的目录条目 | (挂载成功) |
| 2 | 长文件名通过公共模式的不安全复制路径被复制到`char name[32]`中 | `[VULN-BUG7-CONFIRMED]` |
| 3 | 记录到保护字段损坏，随后在QEMU中发生控制数据崩溃 | `guard=0x61616161`, `Guru Meditation Error` |

该PoC仍然保留了一个传统的CVE-2026-6682风格的OTA回调覆盖路径，用于上下文和标记输出（`PWNED-UART`），但此处针对该漏洞的具体证明是上述的长文件名调用方溢出标记。

代表性输出：```
I (...) fatfs_vuln: PoC: CVE-2026-6688 long-LFN caller overflow probe (ESP32 public-pattern copy path)
...
PWNED-UART
E (...) fatfs_vuln: [VULN-BUG7-CONFIRMED] guard corrupted after filename copy
E (...) fatfs_vuln: entry='esp32_lfn_trigger_aaaa...aaaa.bin' len=78 guard=0x61616161
Guru Meditation Error: Core  0 panic'ed (...)