Firma de securitate cibernetică runZero a dezvăluit public șapte vulnerabilități critice identificate în FatFs, o bibliotecă de sistem de fișiere de dimensiuni reduse, utilizată pe scară largă în firmware-ul dispozitivelor embedded. Aceste vulnerabilități prezintă un risc semnificativ deoarece biblioteca afectată este integrată în milioane de dispozitive active la nivel global, iar patch-urile corective nu sunt disponibile în momentul de față.
FatFs este o bibliotecă software care permite dispozitivelor să citească și să scrie date în formatele FAT și exFAT, cele utilizate în mod obișnuit pe stick-urile USB și cardurile SD. Datorită dimensiunii sale reduse și a consumului minim de resurse, această bibliotecă a fost adoptată masiv de producătorii de hardware în categorii diverse de produse: camere de securitate, drone, controlere industriale, portofele hardware pentru criptomonede și numeroase alte sisteme embedded. Tocmai această omniprezență transformă vulnerabilitățile descoperite într-o problemă de amploare deosebită.
Cele șapte vulnerabilități identificate de runZero pot fi exploatate prin intermediul unor sisteme de fișiere special construite în format FAT sau exFAT, montate pe un dispozitiv de stocare fizic sau livrate prin alte mecanisme de transfer de date. Un atacator care reușește să introducă un astfel de suport de stocare malițios într-un dispozitiv afectat poate provoca comportamente neașteptate ale sistemului, inclusiv coruperea memoriei sau executarea de cod arbitrar. Gravitatea reală a fiecărei vulnerabilități depinde de contextul specific al implementării și de măsura în care producătorul dispozitivului a adăugat straturi suplimentare de protecție.
Problema fundamentală cu ecosistemul dispozitivelor embedded constă în lanțul de actualizare extrem de fragmentat. Chiar dacă dezvoltatorii FatFs lansează versiuni corectate ale bibliotecii, producătorii de hardware trebuie să integreze aceste actualizări în propriile firmware-uri și ulterior să le distribuie utilizatorilor finali. Acest proces poate dura luni sau chiar ani, iar în numeroase cazuri dispozitivele ajunse la finalul ciclului de viață comercial nu mai primesc deloc actualizări, rămânând permanent expuse.
Pentru organizațiile din România, impactul acestor vulnerabilități este concret și imediat. Camerele de supraveghere, echipamentele industriale conectate și controlerele utilizate în infrastructuri critice sau în medii de producție sunt categoriile cele mai expuse. Administratorii IT și responsabilii cu securitatea cibernetică din companii și instituții publice ar trebui să realizeze un inventar al dispozitivelor embedded aflate în rețelele proprii, să verifice dacă producătorii acestora au emis actualizări de firmware și să implementeze controale compensatorii acolo unde patch-urile nu sunt disponibile, cum ar fi restricționarea accesului fizic la porturile USB și segmentarea rețelelor în care operează aceste dispozitive.