Ataque de glitching de tensão burla verificações de segurança no controlador de voo PX4 Autopilot

Pesquisadores da Universidade da Califórnia demonstraram um ataque de voltage-glitching contra o firmware PX4 Autopilot rodando em microcontroladores STM32, induzindo falhas transientes que pulam instruções críticas e desabilitam mecanismos de failsafe. O ataque foi validado experimentalmente com a plataforma ChipWhisperer e simulações baseadas em ARMORY, revelando dependência temporal (timing-sensitive) no código de segurança do controlador, uma fraqueza explorável por glitches de tensão precisos. A vulnerabilidade não depende de bugs de software, mas de como o hardware executa o firmware sob estresse elétrico, tornando-a difícil de detectar via análise estática ou testes convencionais.

Paralelamente, uma vulnerabilidade de software crítica, CVE-2026-1579, foi confirmada no PX4 Autopilot: ausência de autenticação nas funções MAVLink, permitindo comandos arbitrários sem verificação criptográfica. Com CVSS 9.8, ela afeta especificamente a versão v1.16.0_SITL_latest_stable e foi alertada pela CISA em 31 de março de 2026 (ICSA-26-090-02). Diferente do glitching, que exige acesso físico, essa falha pode ser explorada remotamente se a interface MAVLink estiver exposta, ampliando drasticamente o vetor de ataque.

O PX4 Autopilot é o sistema de controle de voo de código aberto mais adotado globalmente, usado em drones comerciais, plataformas de pesquisa, serviços de emergência e até em protótipos de defesa. Sua natureza open source favorece auditoria, mas também facilita o estudo de vetores de exploração por adversários. A coexistência de uma falha de hardware (voltage-glitching) e outra de software (CVE-2026-1579) mostra que ameaças a drones não são binárias, elas operam em camadas complementares: física, firmware e comunicação. Ignorar qualquer uma delas cria brechas reais para perda de controle, manipulação de missão ou comprometimento de infraestrutura crítica.

Desenvolvedores que integram ou customizam o PX4 devem revisar imediatamente o uso de MAVLink: habilitar assinatura de mensagens (MAVLink 2.0 signing), restringir alcance de rede e evitar exposição direta da porta UDP/TCP associada. Em nível de firmware, mitigar voltage-glitching exige técnicas como detecção de anomalias de clock/tensão, redundância de instruções críticas e uso de proteções físicas (ex.: blindagem, filtros LC) em placas de produção, não apenas em simulações. A documentação oficial do PX4 ainda não inclui orientações específicas sobre hardening contra fault injection; portanto, equipes de segurança precisam cruzar recomendações da CISA com boas práticas de segurança embarcada (ex.: NIST SP 800-193).