CVE-2026-25205: Estouro de buffer baseado em heap no Samsung Open Source Escargot
Um estouro de buffer baseado em heap no Samsung Open Source Escargot permite escrita fora dos limites, registrada como CVE-2026-25205. A NVD atribui nota 9.8 (crítica), enquanto a PSIRT da Samsung e o CNA atribuem 7.4. O registro não informa versão corrigida, e a falha não consta no catálogo KEV da CISA.
Visão geral
O registro descreve um estouro de buffer baseado em heap no Samsung Open Source Escargot, que permite escrita fora dos limites. O código afetado é identificado por um hash de commit do projeto Escargot. A única referência presente no registro é a pull request de rastreamento de issues no repositório upstream.
Impacto
Uma escrita fora dos limites na memória heap pode corromper o estado do programa. O CWE indicado no registro é o CWE-122 (Heap-based Buffer Overflow). A NVD atribui CVSS 3.1 nota 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica vetor de rede, sem privilégios e sem interação do usuário. A PSIRT da Samsung e o CNA atribuem 7.4 pelo CVSS 3.1, portanto as fontes divergem quanto à severidade. A avaliação SSVC do registro classifica o impacto técnico como total.
Produtos e versões afetadas
O registro lista duas entradas: Samsung Escargot na versão 2026-03-26, e Samsung Open Source Escargot identificado pelo commit 97e8115ab1110bc502b4b5e4a0c689a71520d335. O registro não informa versão corrigida e não esclarece se builds anteriores são afetados.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O campo de exploração do SSVC é none e o campo automatizável é no. A probabilidade EPSS é 0.00187, com percentil 0.07897, conforme registrado.
Correção e mitigação
Nenhum patch ou versão corrigida consta no registro. Assim, a ausência de correção deve ser tratada como informação desconhecida, e não como inexistência de correção. Equipes que incorporam ou compilam o Escargot devem verificar se seus builds correspondem ao commit indicado ou à versão 2026-03-26. Recomenda-se acompanhar o repositório upstream e a PSIRT da Samsung e aplicar as correções do fornecedor quando forem publicadas. Sempre que possível, limite a exposição do motor a entradas não confiáveis até que uma correção seja confirmada.
Orientações de detecção
As fontes não fornecem assinaturas nem indicadores de comprometimento. Em nível geral, monitore aplicações que incorporam o Escargot quanto a falhas inesperadas, encerramentos anormais e sintomas de corrupção de memória, mantendo registros que permitam analisar esses eventos.
Limitações das informações disponíveis
O registro não informa versão corrigida, patch, detalhes técnicos da função vulnerável, nem status de exploração além da ausência no KEV. As notas de severidade diferem entre a NVD e a Samsung. A data do EPSS no registro é posterior à data de publicação, por isso os valores do EPSS devem ser interpretados com cautela.
Perguntas frequentes
O CVE-2026-25205 está sendo explorado ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O campo de exploração do SSVC é none.
Quais versões são afetadas?
O registro lista o Samsung Escargot na versão 2026-03-26 e o Samsung Open Source Escargot identificado pelo commit 97e8115ab1110bc502b4b5e4a0c689a71520d335. Nenhuma versão corrigida é informada.
Por que as notas de severidade são diferentes?
A NVD atribui CVSS 3.1 nota 9.8, enquanto a PSIRT da Samsung e o CNA atribuem 7.4 na mesma versão do CVSS. O registro não explica a diferença.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.