CVE-2026-39958: AOSC oma: injeção de fontes APT por Topic Manifest malformado
O gerenciador de pacotes oma do AOSC OS, em versões anteriores à 1.25.2, não valida o campo name dos Topic Manifests obtidos pelo oma-topics em servidores remotos. Um manifesto malformado pode resultar na gravação de entradas de fonte APT maliciosas no arquivo atm.list. A falha está corrigida na 1.25.2, possui pontuação base CVSS 3.1 de 9.1 e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-39958 afeta o oma, o gerenciador de pacotes do AOSC OS. Segundo o aviso, o oma-topics busca Topic Manifests de repositórios de testes em servidores remotos e os registra como entradas de fonte do APT, mas o campo name desses manifestos não é verificado quanto a transliteração antes do registro.
Impacto
Um Topic Manifest malformado pode levar à inclusão de entradas de fonte APT maliciosas em /etc/apt/sources.list.d/atm.list quando o oma-topics termina de buscar e registrar os metadados. As fontes não detalham os efeitos posteriores. Como as entradas de fonte do APT determinam de onde os pacotes são obtidos, uma entrada maliciosa poderia direcionar a obtenção de pacotes para repositórios não confiáveis (inferência).
Produtos e versões afetadas
- Produto: oma, gerenciador de pacotes do AOSC OS.
- Versões afetadas: a descrição indica versões anteriores à 1.25.2. A lista estruturada de versões afetadas no registro está vazia, portanto não há outros intervalos confirmados.
- Versão corrigida: 1.25.2, conforme a descrição e a página da versão v1.25.2.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Correção e mitigação
- Atualize o oma para a versão 1.25.2 ou superior.
- Consulte o aviso de segurança GHSA-86jc-7r6q-cr3f e o commit de correção.
- Até a atualização, restrinja a obtenção de tópicos a espelhos confiáveis pela sua organização.
- Após a atualização, revise as entradas de atm.list e remova as linhas de fonte que você não configurou.
Orientações de detecção
- Compare /etc/apt/sources.list.d/atm.list com as fontes esperadas, especialmente após a execução do oma-topics.
- Monitore alterações inesperadas nos arquivos do diretório de fontes do APT.
- Verifique se as fontes de pacotes apontam para hosts fora da lista de espelhos aprovados.
Limitações das informações disponíveis
- O registro traz pontuação base CVSS 3.1 de 9.1 da CNA e pontuação CVSS 4.0 de 5.2 do GitHub. As fontes não explicam a diferença entre elas.
- As listas de afetados e de correções estão vazias nos dados estruturados. O limite de versões vem apenas da descrição.
- O registro não detalha a lógica de validação ausente nem a gama completa de efeitos possíveis.
- Os valores EPSS do registro (probabilidade 0,00644; percentil 0,49526) são apresentados sem contexto adicional.
Perguntas frequentes
Quais versões são afetadas?
A descrição indica que versões anteriores à 1.25.2 são afetadas. A lista estruturada de afetados no registro está vazia, portanto não há outros intervalos de versão confirmados.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualize o oma para a versão 1.25.2 ou superior e depois revise as entradas de atm.list, removendo as linhas de fonte que não foram configuradas intencionalmente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.