CVE-2026-25206: Leitura fora dos limites no Samsung Open Source Escargot com exposição de recursos
A CVE-2026-25206 é uma vulnerabilidade de leitura fora dos limites (CWE-125) no Samsung Open Source Escargot que, segundo o registro, permite exposição de vazamento de recursos. O NVD atribui nota 9.1 (crítica), enquanto a Samsung PSIRT e o CNA da Samsung atribuem 6.7. O registro não mostra exploração confirmada e há uma referência de correção sem versão corrigida informada.
Visão geral
A CVE-2026-25206 é classificada como leitura fora dos limites (CWE-125) no Samsung Open Source Escargot. A descrição publicada afirma que a falha permite exposição de vazamento de recursos e identifica o código afetado por um identificador de commit.
Impacto
- A descrição afirma que o problema permite exposição de vazamento de recursos.
- O NVD atribui pontuação base 9.1 (crítica), com vetor que indica alto impacto na confidencialidade, sem impacto na integridade e alto impacto na disponibilidade.
- A Samsung PSIRT e o CNA da Samsung atribuem ambas 6.7, o que mostra divergência entre as fontes de pontuação.
- O registro não descreve quais dados são expostos exatamente nem as condições necessárias para acionar a falha.
Produtos e versões afetados
- Samsung Escargot: versão 2026-03-26
- Samsung Open Source Escargot: versão 97e8115ab1110bc502b4b5e4a0c689a71520d335
- O registro não informa versão corrigida. Ele lista uma referência do tipo correção, a pull request 1554 no GitHub, que deve ser analisada para confirmar se ela cobre as builds afetadas.
Status de exploração
- A vulnerabilidade não aparece no catálogo CISA Known Exploited Vulnerabilities no registro analisado.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- Os campos SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0.00184.
Correção e mitigação
- Identifique se o seu ambiente incorpora o Samsung Open Source Escargot e qual build é usada.
- Analise a pull request upstream e verifique se a mudança se aplica à sua build.
- Atualize para uma build que inclua a mudança upstream e confirme o resultado com o mantenedor ou fornecedor, já que o registro não traz versão corrigida.
- Quando a atualização não for imediata, reduza a exposição do componente a entradas não confiáveis como medida defensiva.
Orientação para detecção
- Monitore falhas, erros de acesso à memória ou encerramentos inesperados de processos em aplicações que incorporam o motor.
- Revise registros de eventos em busca de comportamentos incomuns quando o motor processar conteúdo externo.
- Acompanhe avisos dos fornecedores para informações atualizadas.
Limitações das informações disponíveis
- O registro não informa versão corrigida nem uma declaração explícita de correção.
- As fontes de pontuação divergem (9.1 contra 6.7).
- O registro não explica as condições de acionamento nem os recursos expostos com precisão.
- A data do EPSS no registro é posterior à data de publicação, por isso convém verificar sua vigência na fonte de dados atual.
Perguntas frequentes
O que é a CVE-2026-25206?
É uma vulnerabilidade de leitura fora dos limites (CWE-125) no Samsung Open Source Escargot que, segundo o registro, permite exposição de vazamento de recursos.
Há exploração conhecida desta vulnerabilidade?
Ela não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro lista a versão 2026-03-26 do Samsung Escargot e o commit 97e8115ab1110bc502b4b5e4a0c689a71520d335 do Samsung Open Source Escargot. Não há versão corrigida informada.
O que devo fazer agora?
Verifique se usa o componente afetado, analise a pull request upstream 1554 e aplique uma atualização que inclua a mudança, após confirmação do mantenedor ou fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.