CVE-2026-22189: Estouro de Buffer na Pilha no egg-mkfont do Panda3D
O utilitário egg-mkfont do Panda3D, nas versões até e incluindo 1.10.16, apresenta um estouro de buffer baseado em pilha causado por uma chamada sprintf() sem limite que processa um padrão de glifo fornecido pelo usuário. O registro relata corrupção de memória e uma falha determinística, além de indicar que a execução arbitrária de código pode ser possível dependendo da configuração de compilação e do ambiente. O registro não lista versão corrigida e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve um estouro de buffer baseado em pilha (CWE-787, escrita fora dos limites) no utilitário egg-mkfont do Panda3D. A falha está no tratamento da opção de padrão de glifo (-gp), que é formatada em um buffer de pilha de tamanho fixo sem validação de comprimento.
Impacto
- O registro descreve corrupção de memória e uma falha determinística.
- Segundo o registro, dependendo da configuração de compilação e do ambiente de execução, o estouro também pode ser explorável para execução arbitrária de código.
- O NVD atribui pontuação CVSS 3.1 de 9.8 (crítica). A VulnCheck atribui CVSS 4.0 de 6.9.
Produtos e versões afetados
- Produtos listados: Cmu Panda3d e Panda3D Panda3D.
- Faixa afetada: até e incluindo 1.10.16.
- O registro não lista versão corrigida.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Não há exploração ativa confirmada nem exploração na natureza nas fontes consultadas.
- O registro informa valor de exploração SSVC poc e probabilidade EPSS de 0.00519 (percentil 0.43255).
Correção e mitigação
- O registro não lista versão corrigida, o que não significa que não exista correção. Verifique o site do projeto Panda3D e o repositório Panda3D no GitHub para atualizações.
- Enquanto uma correção não for confirmada, evite executar o egg-mkfont com padrões de glifo não confiáveis ou não validados.
- Execute ferramentas de build de ativos em ambientes isolados e com privilégios mínimos.
- Após a disponibilidade de uma atualização, recompile e reimplante a partir de uma fonte verificada.
Orientação para detecção
- Monitore pipelines de build e invocações da ferramenta em busca de falhas ou encerramentos anormais do egg-mkfont.
- Revise entradas de build com argumentos de padrão de glifo incomumente longos antes do processamento.
- Acompanhe falhas de processos e eventos de falha de memória em sistemas onde o egg-mkfont é executado.
Limitações das informações disponíveis
- O registro não descreve as configurações de build afetadas, o tamanho do buffer nem as plataformas testadas.
- O registro não inclui versão corrigida nem patch do fornecedor.
- Há uma referência de lista de discussão marcada como relacionada a exploit. Seu conteúdo não foi usado nesta análise e ela não comprova exploração na natureza.
- A data de EPSS no registro (2026-10-23) é posterior à data de publicação, por isso os valores de EPSS devem ser interpretados com cautela.
Perguntas frequentes
Quais versões do Panda3D são afetadas pela CVE-2026-22189?
O registro indica a faixa afetada como até e incluindo 1.10.16 para as entradas Cmu Panda3d e Panda3D Panda3D. O registro não lista versão corrigida.
A CVE-2026-22189 é conhecida por ser explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
O que administradores devem fazer enquanto não há correção listada?
Evitar executar o egg-mkfont com padrões de glifo não confiáveis, executar ferramentas de build em ambientes isolados com privilégios mínimos e acompanhar o site do projeto e o repositório para atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.