CVE-2026-0759: Katana Network Development Starter Kit: injeção de comando em executeCommand com execução remota de código
A CVE-2026-0759 é uma falha crítica de injeção de comando do sistema operacional no método executeCommand do Katana Network Development Starter Kit, com nota 9,8 no CVSS 3.0 atribuída pelo CNA Zero Day Initiative (ZDI). Segundo o registro, ela pode ser explorada remotamente, sem autenticação, para executar código com as permissões da conta de serviço. Nas fontes consultadas não há exploração confirmada, e a vulnerabilidade não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-0759 é uma fraqueza de injeção de comando do sistema operacional (CWE-78) no método executeCommand do Katana Network Development Starter Kit, conforme descrito pelo CNA Zero Day Initiative no aviso ZDI. O registro afirma que uma string fornecida pelo usuário é usada em uma chamada de sistema sem validação adequada.
Impacto
- O registro descreve execução remota de código no contexto da conta de serviço.
- A nota base do CVSS 3.0 é 9,8 (Crítica), com vetor CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Isso indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- Os campos SSVC do registro indicam exploração 'none', automatizável 'yes' e impacto técnico 'total'.
Produtos e versões afetadas
- Produto: Katana Network Development Starter Kit.
- O registro lista uma versão afetada, identificada pelo hash de commit 7ecc3fa2a55404dc5eeb84ce2c673227015366e4. Não há faixa de versões informada.
- O registro não lista versão corrigida. Isso não comprova que exista correção; a disponibilidade de uma correção é desconhecida.
Status de exploração
- O registro indica que a CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- O registro informa probabilidade EPSS de 0,01798 e percentil de 0,7831.
Correção e mitigação
- Identifique todas as implantações do starter kit e verifique se incluem o commit afetado.
- Acompanhe o aviso da ZDI e a entrada na NVD para orientações e atualizações do fornecedor.
- Enquanto não houver correção verificada, reduza a exposição: limite o acesso de rede ao serviço, coloque-o atrás de controles de autenticação quando possível e execute-o com privilégios mínimos.
- Não exponha o serviço a redes não confiáveis.
Detecção
- Revise os logs em busca de processos filhos inesperados iniciados pelo processo do serviço.
- Gere alertas para conexões de saída incomuns ou contas criadas recentemente no host do serviço.
- Monitore requisições inesperadas que cheguem à funcionalidade de execução de comandos a partir de origens desconhecidas.
Limitações das informações disponíveis
- O registro não inclui aviso do fornecedor, patch ou commit corrigido.
- As versões afetadas são informadas apenas por um único hash de commit, e o registro não explica como esse commit se relaciona com versões publicadas.
- O status do registro é 'Deferred', e o significado disso para esta CVE é desconhecido.
- A data do EPSS no registro (2026-10-23) é posterior à data de publicação (2026-01-23); isso deve ser verificado na fonte antes de ser usado.
Perguntas frequentes
A vulnerabilidade já é explorada?
O registro indica que a CVE não consta no KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Mesmo assim, deve ser tratada como prioridade alta pela pontuação crítica e pelo vetor remoto sem autenticação.
Quais versões são afetadas e existe correção?
O registro lista uma versão afetada, identificada pelo hash de commit 7ecc3fa2a55404dc5eeb84ce2c673227015366e4, e nenhuma versão corrigida. Se existe correção é desconhecido, por isso consulte o aviso da ZDI e os canais do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.