CVE-2026-22904: Estouro de buffer na pilha no processamento de cookies (CWE-121)
A CVE-2026-22904 é um estouro de buffer na pilha (CWE-121) de severidade crítica, causado por tratamento inadequado de tamanho ao analisar vários campos de cookie, incluindo TRACKID. Segundo o registro do CNA, um atacante remoto não autenticado pode provocar negação de serviço e, possivelmente, execução remota de código. Os produtos e versões afetados não são identificados nas fontes consultadas.
Visão geral
A CVE-2026-22904 foi publicada em 09/02/2026 e atribuída pelo CERT@VDE, que a inclui no aviso VDE-2026-004. A fraqueza é classificada como CWE-121, estouro de buffer baseado em pilha, e ocorre quando vários campos de cookie, incluindo TRACKID, são analisados sem verificação adequada de tamanho.
Impacto
O registro do CNA descreve dois efeitos: negação de serviço e possível execução remota de código. A pontuação base CVSS 3.1 registrada pelo CNA é 9,8 (crítica), com vetor de ataque pela rede, sem necessidade de privilégios e sem interação do usuário. Confidencialidade, integridade e disponibilidade estão todas classificadas como altas.
Produtos e versões afetados
O registro não informa nenhum produto afetado, faixa de versões ou nome do fabricante. O aviso CERT@VDE VDE-2026-004 é a principal fonte para verificar os produtos afetados, e não estava disponível como dado estruturado neste registro.
Status de exploração
O catálogo Known Exploited Vulnerabilities da CISA não inclui esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS registrada é de probabilidade 0,00629 com percentil 0,48732, que é uma previsão estatística e não evidência de ataques.
Correção e mitigação
- Identifique se o seu ambiente executa algum produto abrangido pelo aviso VDE-2026-004 e consulte o aviso para correções ou atualizações indicadas pelo fabricante.
- Enquanto não houver correção disponível, limite a exposição de rede dos serviços afetados, especialmente interfaces acessíveis a partir de redes não confiáveis.
- Como medida temporária, posicione as interfaces web afetadas atrás de controles que restrinjam o tamanho de cabeçalhos de requisição e apliquem limites razoáveis de tamanho de cookies.
- Siga as orientações do fabricante no aviso para qualquer ajuste de configuração.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições com cabeçalhos de cookie incomumente grandes ou numerosos, especialmente os que incluem TRACKID.
- Monitore falhas, reinicializações ou encerramentos inesperados de processos que possam indicar tentativas de corrupção de memória.
- Gere alertas para tráfego anômalo vindo de fontes não confiáveis em direção a interfaces de gerenciamento ou industriais.
Limitações das informações disponíveis
O registro não traz nomes de produtos afetados, identidade do fabricante, faixas de versões afetadas, versões corrigidas nem medidas de contorno. A data do EPSS no registro é posterior à data de publicação, portanto a pontuação deve ser tratada como um retrato pontual. Consulte o aviso do CERT@VDE e o fabricante para detalhes completos.
Perguntas frequentes
O que é a CVE-2026-22904?
É um estouro de buffer na pilha (CWE-121) de severidade crítica no processamento de vários campos de cookie, incluindo TRACKID. O registro do CNA descreve negação de serviço e possível execução remota de código.
Esta vulnerabilidade exige autenticação?
Segundo os dados CVSS do registro, não são exigidos privilégios nem interação do usuário, e o vetor de ataque é a rede.
Há exploração ativa conhecida?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais produtos são afetados?
O registro não informa produtos ou versões afetados. Consulte o aviso VDE-2026-004 do CERT@VDE para essa informação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.