CVE-2026-22262: Suricata: estouro de pilha ao salvar datasets
O Suricata, um motor de IDS, IPS e NSM de rede, é afetado pela CVE-2026-22262, um estouro de pilha no código que salva datasets quando os dados são muito grandes. O registro indica como afetadas as versões anteriores à 7.0.14 e as versões a partir da 8.0.0 até antes da 8.0.3. As versões corrigidas são a 8.0.3 e a 7.0.14, e uma solução alternativa é evitar regras que usem as opções save ou state de datasets.
Visão geral
O Suricata é um mecanismo de IDS, IPS e NSM de rede. Segundo o registro, a CVE-2026-22262 afeta a rotina que salva um dataset, na qual um buffer na pilha é usado para preparar os dados. Quando os dados do dataset são muito grandes, pode ocorrer um estouro de pilha. O registro classifica a fraqueza como CWE-787 (escrita fora dos limites). O aviso de segurança do GitHub é o aviso do fornecedor citado no registro.
Impacto
O NVD atribui pontuação base de 9,8 (crítica), com vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade, conforme a entrada do NVD. O registro também traz uma pontuação de 5,9 do CNA, o GitHub. O registro não descreve as consequências do estouro além do próprio estouro de pilha.
Produtos e versões afetadas
- Oisf Suricata em versões anteriores à 7.0.14.
- Oisf Suricata em versões a partir da 8.0.0 até antes da 8.0.3.
O registro indica que as versões 8.0.3 e 7.0.14 contêm o patch. Os commits vinculados no registro identificam as alterações de código.
Status de exploração
O registro mostra que a vulnerabilidade não está listada no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. Não há pontuação EPSS disponível no registro.
Correção e mitigação
- Atualize o Suricata para a versão 8.0.3 ou 7.0.14, conforme o ramo em uso.
- Se a atualização imediata não for possível, aplique a solução alternativa do registro: não use regras com as opções save ou state de datasets.
- Revise conjuntos de regras e configurações para identificar o uso dessas opções antes e depois da mudança.
Orientações de detecção
- Faça o inventário de todas as implantações do Suricata e registre as versões exatas.
- Pesquise nos conjuntos de regras as regras de dataset que usam as opções save ou state.
- Monitore encerramentos ou reinícios inesperados do processo do Suricata, que podem indicar corrupção de memória, lembrando que esses eventos têm outras causas possíveis.
- Confirme o status da solução alternativa e da atualização nos registros de gestão de configuração.
Limitações das informações disponíveis
O registro não especifica o limite de tamanho que dispara o estouro, se dados de fontes remotas podem alcançar esse caminho de código, nem se existe prova de conceito. O registro menciona uma issue do Redmine marcada como exigindo permissões, por isso seus detalhes não puderam ser verificados. As duas pontuações divergem entre NVD e CNA, e o registro não explica a diferença.
Perguntas frequentes
Esta vulnerabilidade do Suricata é conhecida por ser explorada ativamente?
O registro mostra que a CVE-2026-22262 não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões do Suricata contêm a correção?
Segundo o registro, as versões 8.0.3 e 7.0.14 contêm o patch.
O que fazer se a atualização não puder ser feita imediatamente?
O registro sugere não usar regras que empreguem as opções save ou state de datasets e revisar os conjuntos de regras para confirmar que essas opções não estão mais em uso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.