文章总结： runZero研究人员披露了广泛使用的FatFs文件系统库中的七个安全漏洞(CVE-2026-6682至CVE-2026-6688),严重程度从中等到高。这些漏洞影响数百万嵌入式设备,可通过恶意USB驱动器、SD卡或固件更新触发。研究使用AI辅助工具(如GitHubCopilot)自动生成模糊测试工具,发现了此前人工审计遗漏的漏洞。修复因嵌入式生态碎片化而复杂,runZero已公开了发现和概念验证代码。 综合评分： 75 文章分类： 漏洞分析,威胁情报,安全意识,安全工具,供应链安全

人工智能帮助发现数百万台设备中使用的 FatFs 库中的缺陷

原创

很近也很远 很近也很远

网络研究观

2026年7月5日 23:55 福建

在小说阅读器读本章

去阅读

unZero 的研究人员披露了广泛使用的 FatFs 文件系统库中的七个安全漏洞，并警告说，这些缺陷可能会使数百万嵌入式设备面临通过恶意 USB 驱动器、SD 卡以及在某些情况下通过固件更新机制进行的攻击。

这些漏洞的编号从 CVE-2026-6682 到 CVE-2026-6688，严重程度从中等到高不等，会影响嵌入在众多物联网、工业和消费产品中的软件组件。

runZero 发布了这些研究结果，该公司对 FatFs 进行了重新评估，这是其一项更广泛的研究项目的一部分，该项目旨在探索人工智能辅助的长尾软件供应链漏洞发现技术。

Moore 表示，虽然 2017 年的早期人工评估只发现了一些小问题，但 2026 年 3 月使用 GitHub Copilot 自动生成模糊测试工具进行重复审计后，迅速发现了多个之前被忽略的漏洞。

https://www.runzero.com/blog/fatfs-bugs/

FatFs 是一个紧凑的开源 FAT/exFAT 文件系统实现，用 C 语言编写，由于其良好的可移植性和宽松的许可协议，已成为嵌入式系统的事实标准。它被直接捆绑到包括 Espressif ESP-IDF、STMicroelectronics STM32Cube、Zephyr RTOS、MicroPython、ArduPilot、RT-Thread、Mbed OS、Samsung TizenRT 和 SWUpdate 在内的平台使用的固件和软件开发工具包中，这使得漏洞的下游影响异常广泛。

FatFs中的安全漏洞

#

最严重的漏洞是 CVE-2026-6682（CVSS 7.6），它存在于 FAT32 挂载过程中，存在整数溢出漏洞，可使精心构造的文件系统镜像破坏内存，并可能执行任意代码。另一个高危漏洞 CVE-2026-6687 可通过恶意 exFAT 卷标触发栈缓冲区溢出，而 CVE-2026-6688 则揭示了一个常见的集成问题：应用程序将长文件名复制到固定大小的缓冲区中，从而增加了内存损坏的风险。其他已披露的漏洞可能导致崩溃、数据损坏、信息泄露或拒绝服务攻击。

大多数攻击场景需要攻击者提供恶意的FAT格式存储设备，因此SD卡和U盘等可移动介质成为主要的传播途径。安全摄像头、无人机、工业控制器、加密钱包、投票系统、ATM机以及其他会自动挂载插入介质的嵌入式产品等设备尤其容易受到攻击。然而，runZero指出，如果设备在验证更新镜像的完整性之前就挂载了更新镜像，其中两个漏洞也可能影响空中固件更新流程，从而在安全性较差的更新管道中形成潜在的远程攻击路径。

研究人员指出，嵌入式生态系统的碎片化特性使得修复工作变得复杂。FatFs 通常被直接复制到项目中，然后在本地进行修改，这意味着下游供应商必须独立识别其产品是否包含易受攻击的版本并应用修复程序。RunZero 表示，他们曾尝试联系上游维护者，并在协调披露过程中联系了日本的 JPCERT/CC，但未收到回复。

runZero 没有选择将问题保密，而是公布了调查结果、相关的概念验证代码和测试工具，以帮助供应商识别受影响的产品并验证补丁。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络研究观 很近也很远 很近也很远《人工智能帮助发现数百万台设备中使用的 FatFs 库中的缺陷》