CVE-2026-102809

PX4 Autopilot do wersji 1.17.0 zawiera podatność na dereferencję pustego wskaźnika w komendzie sd_stress, gdzie parametr liczby bajtów -b jest parsowany bez walidacji przed przekazaniem do malloc() i memset(). Atakujący z dostępem do powłoki, w tym przez MAVLink, mogą podać nieprawidłowe wartości liczby bajtów, co powoduje awarię kontrolera lotu.

PX4 Autopilot do wersji 1.17.0 zawiera podatność na odczyt poza zakresem bufora stosu w poleceniu systemowym netman, które nie sprawdza długości nazwy interfejsu. Atakujący mogą podać nazwy interfejsów o długości 74 bajtów lub więcej przez opcję -i, aby odczytać dane poza granicami bufora, wyciekając pamięć stosu do wyjścia konsoli lub zapisując ją do trwałych plików konfiguracyjnych sieci.

PX4 Autopilot do wersji 1.17.0 zawiera podatność use-after-free w module load_mon w ścieżce zatrzymania, gdzie exit_and_cleanup() usuwa obiekt LoadMon i zwalnia licznik wydajności przed tym, jak perf_end() próbuje uzyskać do niego dostęp. Atakujący mogą wywołać tę podatność, wydając polecenie zatrzymania load_mon z dowolnej powłoki PXH lub MAVLink, co powoduje odczyty i zapisy przez zwolnioną pamięć, które uszkadzają obiekty sterty i destabilizują stos lotu.

PX4 Autopilot do wersji 1.17.0 zawiera podatność na dereferencję wskaźnika null w funkcjach param_set_default_file() i param_set_backup_file(), która umożliwia atakującym spowodowanie awarii procesu autopilota. Atakujący mogą wywołać komendy 'param select' lub 'param select-backup' bez argumentu ścieżki z dowolnej powłoki PX4, aby wywołać awarię.

PX4 Autopilot do wersji 1.17.0 zawiera podatność use-after-free w funkcji TemperatureCalibration::start() z powodu wyścigu między tworzeniem zadania a usuwaniem obiektu. Atakujący mogą wywołać proces kalibracji za pomocą komend powłoki, aby zapisać do zwolnionej pamięci sterty, uszkadzając niezwiązane obiekty lub metadane alokatora i destabilizując operacje na stercie.

PX4 Autopilot zawiera podatność przepełnienia bufora sterty w poleceniu sd_bench, które zapisuje czterobajtowy numer bloku do alokacji o rozmiarze podanym przez użytkownika. Atakujący mogą wywołać sd_bench z rozmiarem bloku mniejszym niż cztery bajty, aby przepełnić bufor sterty i potencjalnie wykonać kod lub spowodować awarię systemu.

W projekcie PX4 PX4-Autopilot do wersji 1.16.0 stwierdzono podatność na przepełnienie bufora oparte na stosie w funkcjach MavlinkLogHandler::state_listing i MavlinkLogHandler::log_entry_from_id pliku src/modules/mavlink/mavlink_log_handler.cpp. Atak wymaga dostępu lokalnego. Poprawka jest dostępna jako commit 338595edd1d235efd885fd5e9f45e7f9dcf4013d.