Angriff per USB-Stick: KI findet gefährliche Lücke in populärem FatFs-Treiber
Sicherheitsforscher von Runzero haben mithilfe künstlicher Intelligenz mehrere Sicherheitslücken in dem auf unzähligen Geräten eingesetzten FatFs-Treiber entdeckt. Eine dieser Lücken erweist sich laut Blogbeitrag der Forscher(öffnet im neuen Fenster) als besonders gefährlich: Nur ein kurzer physischer Zugriff soll ausreichen, um Schadcode einzuschleusen. Patches scheint es trotz des enorm hohen Risikopotenzials bisher nicht zu geben.
Bei FatFs handelt es sich um(öffnet im neuen Fenster) ein freies und plattformunabhängiges Modul für die Verarbeitung der Dateisysteme FAT und exFAT, das primär für den Einsatz in Embedded-Systemen entwickelt wurde. Es ist in der Firmware unzähliger Geräte enthalten, um etwa mobile Datenträger wie USB-Sticks oder Speicherkarten lesen und beschreiben zu können.
"Jeder physische Zugriff führt zu einem Jailbreak", schreiben die Runzero-Forscher im Hinblick auf den gefährlichsten ihrer Funde. Die Sicherheitslücke ist als CVE-2026-6682(öffnet im neuen Fenster) registriert und verfügt über einen hohen Schweregrad (CVSS: 7,6). Ein kurzes Anschließen eines USB-Sticks oder einer Speicherkarte soll ausreichen, um die Schwachstelle auszunutzen.
Vielfältige Angriffsziele
Ursache ist den Angaben zufolge ein Integer-Overflow in der Mount-Arithmetik von FatFs. Angreifer müssen lediglich einen Datenträger mit einem FAT- oder exFAT-Image und speziell gestalteten File-Size-Metadaten mit dem Zielgerät verbinden, woraufhin es zum besagten Überlauf kommt und Schadcode zur Ausführung gelangt.
Als Beispiele für angreifbare Geräte nennen die Forscher industrielle Controller, IoT-Geräte, Drohnen, Kryptowallets, Überwachungskameras mit einem Steckplatz für eine SD-Karte, Wahl- oder Geldautomaten mit einem USB-Anschluss sowie "so ziemlich alles andere, was über einen Bildschirm verfügt, den Nutzer normalerweise berühren".
Über manipulierte OTA-Updates (Over the Air) für die jeweilige Geräte-Firmware soll sich der Fehler potenziell auch aus der Ferne ausnutzen lassen. Dieses Szenario dürfte aber weniger relevant sein, da der Angreifer seinen Schadcode dann auch unabhängig von CVE-2026-6682 in den Updates unterbringen kann.
Noch kein Patch in Sicht
CVE-2026-6682 ist nur eine von insgesamt sieben von Runzero aufgedeckten Schwachstellen. Zwei Weitere verfügen ebenfalls über einen hohen Schweregrad, die übrigen vier lediglich über einen mittleren. Nähere Details zu den einzelnen Lücken sowie eine Liste einiger betroffener und zugleich besonders verbreiteter Softwareprojekte haben die Forscher auf Github bereitgestellt(öffnet im neuen Fenster).
Ob und wann Patches verfügbar sein werden, bleibt allerdings fraglich. Die Runzero-Forscher geben an, den Maintainer von FatFs nach ihrer schon im März erfolgten Untersuchung mehrfach kontaktiert und auch das japanische JPCERT Coordination Center(öffnet im neuen Fenster) eingebunden zu haben. Bisher soll der Maintainer allerdings keinerlei Reaktion gezeigt haben.
"Daher richtet sich diese Veröffentlichung an diejenigen, die derzeit noch etwas Sinnvolles tun können: die nachgelagerten Implementierer", schreiben die Forscher. Ihre Funde länger unter Verschluss halten wollten sie jedoch nicht. "Wenn wir solche Probleme durch den durchdachten Einsatz von KI-gestützter Schwachstellensuche aufdecken können, dann kann das so gut wie jeder andere auch", so die Begründung. Andere Forscher bedienten sich in der Vergangenheit einer ähnlichen Argumentation.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.