CVE-2026-1188: Estouro de buffer na API de nomes de recursos de processador da Eclipse OMR port library
A Eclipse OMR port library contém um estouro de buffer clássico (CWE-120) em uma API que retorna os nomes dos recursos de processador suportados quando o buffer de saída fornecido pelo chamador é insuficiente. O NVD classifica a severidade como CVSS 3.1 9.8 (crítica), e o CNA como 6.9 pelo CVSS 4.0. O problema está corrigido no Eclipse OMR 0.8.0, e o registro não indica inclusão no catálogo KEV da CISA.
Visão geral
A CVE-2026-1188 afeta o componente port library da Eclipse OMR, uma biblioteca de suporte de runtime. Uma função de API que retorna os nomes textuais de todos os recursos de processador suportados não considera o separador colocado entre as entradas. Quando o chamador fornece um buffer de saída pequeno demais, a verificação de segurança da escrita pode falhar, o que pode levar a um estouro de buffer.
Impacto
A fraqueza é classificada como CWE-120 (Estouro de Buffer Clássico). Segundo a descrição, uma exploração bem-sucedida poderia corromper memória adjacente ao buffer de saída. O NVD atribui CVSS 3.1 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. O CNA, emo@eclipse.org, atribui 6.9 pelo CVSS 4.0. As fontes consultadas não descrevem as consequências concretas em um ambiente específico.
Produtos e versões afetadas
- Produto: Eclipse Omr
- Faixa afetada: a partir da 0.2, até antes da 0.8.0
- A descrição indica que o componente é afetado desde a versão 0.2.0.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA, e não há pontuação EPSS informada. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize a Eclipse OMR para a versão 0.8.0 ou superior, que o registro identifica como versão corrigida.
- Revise o patch referenciado na pull request upstream e confirme que o build implantado o inclui.
- Audite o código local que chama a API de nomes de recursos de processador e garanta que os buffers de saída sejam dimensionados considerando o separador, como reforço defensivo enquanto as atualizações são planejadas.
- Quando a biblioteca estiver embutida em outros produtos, consulte os fornecedores desses produtos sobre builds atualizados.
Orientações de detecção
- Faça o inventário de hosts e aplicações que incluem a Eclipse OMR e registre a versão.
- Sinalize builds anteriores à 0.8.0 para revisão priorizada.
- Monitore falhas anormais ou erros de memória em processos que carregam a port library da OMR, pois podem indicar corrupção de memória. Trata-se de um sinal geral e não confirma exploração.
Limitações das informações disponíveis
As fontes não informam quais plataformas, tipos de processador ou aplicações chamadoras estão mais expostos, nem se existe material público de prova de conceito. O registro não lista um aviso de fornecedor além da pull request upstream, então o alcance exato da correção é uma inferência a partir da descrição. As pontuações CVSS 3.1 e 4.0 vêm de provedores diferentes e não devem ser combinadas.
Perguntas frequentes
Quais versões da Eclipse OMR são afetadas pela CVE-2026-1188?
O registro indica a faixa de 0.2 até antes da 0.8.0. A versão corrigida é a 0.8.0.
A CVE-2026-1188 é explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.