7 Kerentanan FatFs yang Belum Diperbaiki Mengancam Jutaan Perangkat Embedded

RunZero, sebuah perusahaan keamanan siber terkemuka, baru-baru ini mengungkap tujuh kerentanan serius pada FatFs, sebuah perpustakaan sistem berkas kecil yang memungkinkan perangkat membaca dan menulis format FAT dan exFAT pada USB drive dan kartu SD. Kerentanan ini menjadi perhatian besar karena FatFs digunakan secara luas dan tertanam di firmware jutaan perangkat embedded di seluruh dunia.

Fakta Penting Tentang Kerentanan FatFs

FatFs bukan hanya sekadar perpustakaan biasa, melainkan komponen penting yang berjalan di banyak perangkat mulai dari security camera, drone, pengendali industri, dompet kripto perangkat keras, hingga perangkat yang memakai sistem operasi waktu nyata (real-time operating system).

Kerentanan utama memungkinkan penyerang yang mendapatkan akses fisik dengan memasukkan USB drive, kartu SD, atau file pembaruan yang telah dibuat dengan sengaja untuk membahayakan perangkat, agar dapat melakukan memory corruption hingga mengeksekusi kode berbahaya.

Banyak perangkat embedded tidak memiliki perlindungan memori seperti pada ponsel atau komputer, sehingga akses fisik yang singkat bisa berujung pada pembajakan total perangkat. Contohnya, kiosk publik, kamera dengan slot SD, ATM, atau mesin voting dengan port USB yang seharusnya aman, kini berisiko diambil alih hanya dengan sentuhan fisik saja.

Daftar Kerentanan FatFs dan Dampaknya

Semua tujuh bug bekerja melalui mekanisme yang sama: perangkat mencoba membaca volume penyimpanan atau citra firmware yang sengaja dipalsukan, namun FatFs gagal menangani data tersebut dengan benar. Berikut rincian dari tujuh kerentanan tersebut menurut penilaian runZero:

1. CVE-2026-6682 (CVSS 7.6, Tinggi): Overflow integer saat proses mounting FAT32 yang menyebabkan korupsi memori dan memungkinkan eksekusi kode. Lebih berbahaya karena dapat diakses lewat pembaruan firmware, bukan hanya media fisik.
2. CVE-2026-6687 (CVSS 7.6, Tinggi): Field label volume exFAT yang menyebabkan buffer overflow dan membuka peluang kerusakan memori.
3. CVE-2026-6688 (CVSS 7.6, Tinggi): Panjang nama file yang berlebihan menyebabkan overflow pada kode pembungkus FatFs, seperti fungsi strcpy. Sulit diperbaiki hanya dari sisi FatFs.
4. CVE-2026-6685 (CVSS 6.1, Sedang): Kesalahan perhitungan pada cache handling volume terfragmentasi yang bisa mengakibatkan korupsi data tanpa disadari.
5. CVE-2026-6683 (CVSS 4.6, Sedang): Kesalahan pembagian nol pada exFAT yang membuat perangkat crash dan berpotensi membuat perangkat menjadi brick jika terjadi saat pembaruan firmware.
6. CVE-2026-6686 (CVSS 4.6, Sedang): File yang diperpanjang melewati akhir berkas dapat membocorkan data sisa dari file yang telah dihapus.
7. CVE-2026-6684 (CVSS 4.6, Sedang): Tabel partisi GPT yang rusak dapat membuat perangkat macet saat mounting. Ini satu-satunya bug yang sudah diperbaiki di versi FatFs R0.16.

Tantangan dalam Perbaikan dan Dampaknya

FatFs dikelola oleh satu pengembang tunggal yang sulit dijangkau. RunZero bahkan sudah melibatkan JPCERT/CC di Jepang untuk mediasi, namun tidak ada respons yang memadai. Akibatnya, belum ada patch resmi untuk kerentanan memori yang paling berbahaya, dan tidak ada saluran komunikasi keamanan resmi untuk memberi tahu produsen perangkat yang mengintegrasikan FatFs.

Hanya bug terkait GPT yang mendapatkan patch upstream, sehingga tugas memperbaiki sisanya jatuh pada vendor perangkat yang menggunakan FatFs. Ini memperburuk risiko keamanan pada berbagai produk populer seperti Espressif ESP-IDF, STM32Cube dari STMicroelectronics, Zephyr, MicroPython, ArduPilot, RT-Thread, Mbed, Samsung TizenRT, dan SWUpdate.

RunZero menegaskan bahwa sejak pengungkapan pada 1 Juli 2026, belum ada laporan serangan nyata yang memanfaatkan bug tersebut. Namun, alat bukti eksploitasi sudah tersedia secara publik, termasuk citra disk PoC dan contoh eksploitasi berbasis QEMU yang dapat digunakan siapa saja untuk menguji atau mengembangkan serangan.

Rekomendasi untuk Pengembang dan Pengguna

Bagi pengembang firmware yang menggunakan FatFs, penting untuk:

• Mengidentifikasi salinan FatFs yang digunakan di produk mereka.
• Melakukan audit menyeluruh terhadap kode pembungkus, terutama pengelolaan nama file dan ukuran file.
• Merencanakan perbaikan dan pembaruan secepatnya.

Bagi pengguna perangkat embedded yang rentan, disarankan untuk membatasi akses fisik ke port USB dan slot SD serta mengawasi pembaruan firmware dari vendor dengan ketat.

Mengapa Kerentanan Ini Terjadi Berulang Kali?

RunZero pertama kali melakukan audit manual terhadap FatFs pada 2017 dan tidak menemukan masalah signifikan. Namun, pada Maret 2026, dengan memanfaatkan teknologi kecerdasan buatan dan fuzzing otomatis menggunakan GitHub Copilot dan Visual Studio Code, mereka menemukan celah yang terlewatkan audit manual.

Fenomena ini mencerminkan tren global di mana alat otomasi berbasis AI dan fuzzer canggih mampu menemukan bug keamanan yang sulit dideteksi manusia. Contohnya, Google Big Sleep menemukan bug nyata di SQLite pada 2024, dan bulan lalu sebuah agen AI otonom juga mengungkap 21 bug keamanan di FFmpeg.

RunZero menegaskan bahwa menyembunyikan kerentanan tidak melindungi siapa pun, dan ini menjadi peringatan bagi pengembang serta vendor untuk bertindak cepat.

Analisis Redaksi

Menurut pandangan redaksi, pengungkapan kerentanan FatFs ini menjadi wake-up call penting bagi industri perangkat embedded dan IoT. Ketergantungan terhadap perpustakaan kecil yang dikelola oleh satu individu tanpa dukungan komunitas luas berisiko menimbulkan lubang keamanan besar yang sulit diatasi secara cepat.

Selain itu, fakta bahwa banyak perangkat tidak memiliki perlindungan memori modern membuat eksploitasi menjadi sangat mudah begitu ada akses fisik. Ini menimbulkan pertanyaan serius soal desain keamanan perangkat IoT dan embedded saat ini, yang harusnya sudah mengantisipasi ancaman dari akses fisik minimal sekalipun.

Yang perlu diwaspadai selanjutnya adalah respons vendor besar yang mengintegrasikan FatFs. Tanpa patch upstream maupun komunikasi yang jelas, perbaikan akan bergantung pada vendor masing-masing yang bisa sangat lambat. Masyarakat dan pengguna harus tetap waspada dan menuntut transparansi serta pembaruan keamanan yang cepat dari produsen.

Untuk update terbaru dan diskusi lebih mendalam, bisa merujuk ke artikel asli di The Hacker News dan sumber resmi keamanan siber lainnya.

Jangan abaikan risiko dari perangkat yang Anda gunakan sehari-hari, terutama yang memiliki port fisik terbuka. Keamanan dimulai dari kesadaran dan tindakan cepat.