CVE-2026-40393: Acesso de memória fora dos limites no WebGPU do Mesa
A CVE-2026-40393 afeta o WebGPU do Mesa, onde pode ocorrer acesso de memória fora dos limites porque a quantidade de dados a alocar depende de uma parte não confiável e é depois usada em alloca. O registro indica como afetadas as versões do Mesa anteriores à 25.3.6 e as versões anteriores à 26.0.1, com pontuação 9.8 na NVD e 8.1 no CNA. Não aparece exploração confirmada nas fontes consultadas, e o registro mostra que a CVE não consta no catálogo KEV da CISA.
Visão geral
O Mesa é uma biblioteca gráfica de código aberto. Esta CVE descreve um acesso de memória fora dos limites na implementação WebGPU. Segundo o registro, a quantidade de memória a ser alocada depende de dados de uma parte não confiável e é depois usada em alloca.
Impacto
- O registro classifica a fraqueza como CWE-787, Escrita fora dos limites.
- A NVD atribui pontuação CVSS 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, sem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- O CNA (MITRE) indica pontuação 8.1 para a mesma CVE.
- Os dados SSVC do registro mostram exploração como none, automatizável como no e impacto técnico como total.
Produtos e versões afetadas
- Produto: Mesa3d Mesa.
- O registro lista versões anteriores à 25.3.6, a versão 26.0.0 e as versões a partir de 26.0.0 até antes de 26.0.1.
- A descrição indica que as versões do Mesa anteriores à 25.3.6 e as versões anteriores à 26.0.1 da linha de lançamento afetada são impactadas.
Status de exploração
- Os dados do catálogo KEV da CISA no registro mostram que a CVE não está listada.
- Não aparece exploração confirmada nas fontes consultadas nesta análise.
- A probabilidade EPSS é 0.00615, com percentil 0.48812 no instante do registro.
Correção e mitigação
- Faça o inventário das instalações do Mesa e verifique se estão dentro das faixas afetadas.
- Planeje a atualização para uma versão do Mesa posterior às faixas afetadas, seguindo a orientação do fornecedor ou da distribuição. O registro não lista versões corrigidas explícitas, então confirme a versão correta nas referências.
- Consulte o aviso LTS do Debian listado nas referências para informações de atualização específicas da distribuição.
- Se a atualização for adiada, limite a exposição de cargas WebGPU a conteúdo não confiável, como medida defensiva.
Orientações de detecção
- Monitore falhas ou encerramentos inesperados em aplicações que usam o WebGPU do Mesa.
- Use ferramentas de inventário de software para identificar pacotes Mesa e suas versões instaladas.
- Acompanhe avisos dos fornecedores e comunicados de segurança das distribuições.
Limitações das informações disponíveis
- O registro não contém versões corrigidas explícitas, e sua lista de correções está vazia.
- As pontuações CVSS divergem entre a NVD (9.8) e o CNA (8.1).
- O registro não possui título, então o título foi derivado da descrição.
- O registro não detalha o caminho de código vulnerável, e esta análise não acrescenta esse detalhe.
Perguntas frequentes
Quais versões do Mesa são afetadas pela CVE-2026-40393?
O registro indica como afetadas as versões anteriores à 25.3.6, a versão 26.0.0 e as versões de 26.0.0 até antes de 26.0.1. Compare a versão instalada com essas faixas.
A CVE-2026-40393 está sendo explorada na prática?
Os dados do catálogo KEV da CISA no registro mostram que a CVE não está listada, e não aparece exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.