CVE-2026-25996: Inspektor Gadget: sequências de escape ANSI não sanitizadas no modo de saída columns
O Inspektor Gadget exibe campos de texto de eventos eBPF no modo de saída columns sem remover caracteres de controle ou sequências de escape ANSI. Um payload de evento forjado por um contêiner observado poderia injetar sequências de escape no terminal de um operador que usa o ig. O registro indica versões afetadas anteriores à 0.49.1 e nenhuma exploração confirmada nas fontes consultadas.
Visão geral
O Inspektor Gadget é um conjunto de ferramentas baseadas em eBPF para coleta de dados e inspeção de sistemas em clusters Kubernetes e hosts Linux. Segundo o registro, campos de texto dos eventos eBPF são exibidos no terminal no modo de saída columns sem sanitização de caracteres de controle ou sequências de escape ANSI. Esse modo é o padrão ao executar ig run de forma interativa.
Impacto
- Um payload de evento forjado, total ou parcialmente, vindo de um contêiner observado pode injetar sequências de escape no terminal de um operador do ig.
- O registro afirma que os efeitos podem variar, mas não descreve efeitos específicos.
- A pontuação base do NVD é 9.8 e a pontuação da CNA do GitHub é 6.9.
Produtos e versões afetadas
- Inspektor-gadget Inspektor-gadget: versões anteriores à 0.49.1.
- Linuxfoundation Inspektor Gadget: versões anteriores à 0.49.1.
O registro indica um commit de correção (d59cf72971f9b7110d9c179dc8ae8b7a11dbd6d2) e identifica 0.49.1 como a versão permitida para a correção. A fronteira exata deve ser confirmada no aviso do projeto.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados SSVC do registro classificam a exploração como prova de conceito, o que indica maturidade e não evidência de ataques ativos.
Correção e mitigação
- Atualize o Inspektor Gadget para a versão 0.49.1 ou posterior.
- Até a atualização, evite executar o ig no modo interativo columns sobre cargas de trabalho cuja saída possa não ser confiável.
- Restrinja quem pode visualizar os terminais dos operadores e revise registros de sessões que observam contêineres não confiáveis.
Orientações de detecção
- Revise sessões de terminal e saídas capturadas em busca de sequências de controle inesperadas ou anomalias de exibição ao observar cargas de trabalho não confiáveis.
- Verifique quais versões do Inspektor Gadget estão implantadas em nós Kubernetes e hosts Linux e compare-as com a faixa afetada.
Limitações das informações disponíveis
O registro não descreve os efeitos específicos das sequências injetadas, não fornece nome para o CWE-150 e não traz detalhes de prova de conceito. Os dados EPSS são uma estimativa de probabilidade e não confirmam exploração.
Perguntas frequentes
Qual é a vulnerabilidade na CVE-2026-25996?
Campos de texto de eventos eBPF são exibidos no modo columns sem remoção de caracteres de controle ou sequências ANSI, de modo que dados de evento forjados podem afetar o terminal do operador.
Quais versões são afetadas?
O registro indica versões anteriores à 0.49.1 para os dois produtos listados.
Esta vulnerabilidade é explorada ativamente?
O catálogo KEV da CISA não a lista e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualizar o Inspektor Gadget para a versão 0.49.1 ou posterior e limitar o uso interativo no modo columns ao observar cargas de trabalho não confiáveis.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.