CVE-2026-25139: RIOT OS: leitura fora dos limites na pilha 6LoWPAN
O RIOT, um sistema operacional open-source para microcontroladores IoT e embarcados, apresenta múltiplas falhas de leitura fora dos limites em sua pilha 6LoWPAN nas versões 2025.10 e anteriores. Um usuário não autenticado capaz de enviar pacotes pode ler posições de memória adjacentes ou derrubar um dispositivo vulnerável. No momento da publicação não havia patch conhecido, e o registro não indica este CVE no catálogo CISA KEV.
Visão geral
RIOT é um sistema operacional open-source para microcontroladores, projetado para dispositivos da Internet das Coisas (IoT) e outros dispositivos embarcados. O CVE-2026-25139 descreve múltiplas condições de leitura fora dos limites em sua pilha 6LoWPAN na versão 2025.10 e anteriores, conforme documentado no aviso do GitHub GHSA-c8fh-23qr-97mc. A fraqueza é classificada como CWE-125 (Leitura fora dos limites).
Impacto
- Segundo o registro, um usuário não autenticado que consiga enviar ou manipular pacotes de entrada pode ler posições de memória adjacentes ou derrubar um dispositivo vulnerável.
- A pontuação CVSS 3.1 base da NVD é 9,1, com vetor que indica alto impacto em confidencialidade e disponibilidade e nenhum impacto em integridade.
- A CNA do GitHub atribui pontuação CVSS 4.0 de 8,7.
Produtos e versões afetados
- Produto listado: Riot-os Riot, versões 2025.10 e anteriores.
- O registro não informa versão corrigida.
- Não é possível determinar, com os dados disponíveis, se builds de desenvolvimento posteriores são afetados.
Situação de exploração
O registro indica que este CVE não está listado no catálogo CISA KEV. Não há evidência confirmada de exploração ativa nas fontes consultadas. O registro marca o aviso do GitHub com as tags 'Exploit' e 'Vendor Advisory'; essa marcação, por si só, não confirma a ocorrência de exploração. Dados do EPSS não estão disponíveis.
Correção e mitigação
- O registro informa que não existe patch conhecido no momento da publicação. Acompanhe o aviso do fornecedor para uma versão atualizada e aplique-a assim que disponível.
- Faça o inventário de dispositivos com RIOT 2025.10 ou anterior, priorizando aqueles com a pilha 6LoWPAN habilitada.
- Inferência: onde o 6LoWPAN não for necessário, desabilitá-lo reduziria a exposição. Valide essa abordagem com as orientações do fornecedor antes de alterar sistemas em produção.
- Restrinja o alcance de rede dos dispositivos afetados a partir de segmentos não confiáveis e segmente redes IoT na borda.
Orientações de detecção
- Monitore nós embarcados quanto a reinicializações inesperadas, resets de watchdog ou perda de serviço, que podem indicar travamentos.
- Revise a telemetria de rede em busca de tráfego 6LoWPAN incomum ou malformado vindo de origens não confiáveis.
- Correlacione logs dos dispositivos com a atividade de rede para apoiar a triagem; as regras de detecção devem ser ajustadas ao seu ambiente.
Limitações das informações disponíveis
- O registro não contém versão corrigida, detalhes de patch nem pontuação EPSS.
- As condições que determinam se a leitura expõe memória ou causa travamento não são especificadas.
- Esta análise se baseia apenas nos dados do registro e nas referências citadas.
Perguntas frequentes
Qual é a vulnerabilidade do CVE-2026-25139?
São múltiplas leituras fora dos limites na pilha 6LoWPAN do RIOT, um sistema operacional embarcado, na versão 2025.10 e anteriores. Pacotes recebidos são processados sem verificar se têm tamanho suficiente para a estrutura esperada.
Existe patch disponível?
O registro informa que não havia patch conhecido no momento da publicação e não lista versão corrigida. Consulte o aviso do fornecedor para atualizações.
Este CVE está sendo explorado ativamente?
O registro não o lista no CISA KEV, e não há evidência confirmada de exploração ativa nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.