CVE-2026-3893: Receptor GNSS Carlson VASCO-B: falta de autenticação
O CVE-2026-3893 descreve o Receptor GNSS Carlson VASCO-B como desprovido de mecanismo de autenticação, o que permitiria a um atacante com acesso à rede alcançar funções de configuração e operação sem credenciais. O ICS-CERT atribuiu pontuação base CVSS 3.1 de 9,4 (crítica), e o registro associa a falha ao CWE-306. Nas fontes consultadas não há exploração confirmada, e o registro não lista versões afetadas nem corrigidas.
Visão geral
O registro do CVE-2026-3893 afirma que o Carlson VASCO-B GNSS Receiver não possui mecanismo de autenticação. Segundo o registro, um atacante com acesso à rede poderia alcançar funções de configuração e operação sem credenciais. A CNA é o ICS-CERT e o registro foi publicado em 28/04/2026.
Impacto
- O registro associa a falha ao CWE-306, Missing Authentication for Critical Function (ausência de autenticação em função crítica).
- A pontuação base CVSS 3.1 de 9,4 é atribuída a ics-cert@hq.dhs.gov. O vetor descreve vetor de ataque de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, baixo impacto na confidencialidade e alto impacto na integridade e na disponibilidade.
- Como as funções de configuração e operação são descritas como acessíveis sem credenciais, a principal preocupação é a alteração não autorizada do equipamento e a interrupção de sua operação.
Produtos e versões afetados
- O produto citado no registro é o Carlson VASCO-B GNSS Receiver.
- A lista de produtos afetados no registro está vazia, portanto as versões afetadas são desconhecidas com os dados disponíveis.
- Nenhuma versão corrigida foi informada. Isso não significa que não exista correção; consulte a página de suporte do fabricante e o aviso CSAF referenciado.
Status de exploração
- O registro não indica que este CVE esteja no catálogo KEV da CISA.
- Não consta exploração confirmada nas fontes consultadas.
- O registro informa probabilidade EPSS de 0,00657 e percentil de 0,50122.
Remediação e mitigação
- Inventarie todas as implantações do Carlson VASCO-B GNSS Receiver, incluindo os níveis de firmware ou software.
- Não exponha as interfaces de gerenciamento ou operação do receptor a redes não confiáveis. Restrinja o acesso a um conjunto reduzido de sistemas autorizados.
- Posicione os receptores atrás de limites de rede controlados e segmente-os do tráfego de TI geral.
- Consulte a página de suporte da Carlson e o aviso CSAF para orientações e atualizações do fabricante.
Orientações de detecção
- Revise os registros do equipamento e da rede em busca de alterações de configuração não autorizadas.
- Observe conexões às interfaces do receptor originadas de hosts fora dos sistemas de gerenciamento aprovados.
- Compare as configurações atuais com linhas de base conhecidas como boas para identificar modificações inesperadas.
Limitações das informações disponíveis
- O status de origem do registro é Deferred, e ele não lista versões afetadas nem corrigidas.
- O registro não descreve os protocolos, configurações padrão ou ramos de firmware envolvidos.
- O aviso CSAF é citado no registro, mas seu conteúdo não é reproduzido no texto, por isso esta análise não se baseia nele.
Perguntas frequentes
Qual é a falha do CVE-2026-3893?
O registro descreve o Carlson VASCO-B GNSS Receiver como desprovido de mecanismo de autenticação, associado ao CWE-306, Missing Authentication for Critical Function.
Quais versões são afetadas?
O registro não lista versões afetadas, portanto as versões exatas são desconhecidas com os dados disponíveis.
Há exploração conhecida deste CVE?
O registro não o inclui no catálogo KEV da CISA, e não consta exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.