CVE-2026-40504: Creolabs Gravity < 0.9.6: estouro de buffer baseado em heap em gravity_vm_exec

Visão geral

A CVE-2026-40504 é um estouro de buffer baseado em heap (CWE-122) no Creolabs Gravity, relatado como afetando versões anteriores à 0.9.6. A descrição situa a falha na função gravity_vm_exec e a relaciona a verificação de limites insuficiente em gravity_fiber_reassign().

Impacto

• O registro indica que escritas de memória fora dos limites podem corromper metadados do heap.
• A descrição afirma que isso pode levar à execução arbitrária de código em aplicações que avaliam scripts não confiáveis.
• A VulnCheck atribui pontuação CVSS 3.1 de 9.8 (crítica), com impacto alto em confidencialidade, integridade e disponibilidade no vetor, e pontuação CVSS 4.0 de 9.3.

Produtos e versões afetadas

• Produto no registro: Marcobambini Gravity (apresentado como Creolabs Gravity no título e na descrição).
• Faixa afetada no registro: versões anteriores à 0.9.6.
• O registro também lista uma faixa baseada em commit. A referência de correção no registro está marcada como commit de patch no repositório upstream.

Status de exploração

• O registro não indica inclusão no catálogo KEV da CISA, portanto não há exploração ativa confirmada por esse catálogo.
• O campo SSVC do registro está marcado como estado de exploração "poc", que indica avaliação em nível de prova de conceito. Isso não equivale a exploração confirmada na natureza.
• Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

• Atualize o Gravity para a versão 0.9.6 ou posterior, que é o limite indicado pela faixa afetada e pela referência de release do registro.
• Revise o commit de patch upstream e o rastreador de issues do projeto para confirmar a correção no seu build.
• Se a atualização não for imediata, limite a avaliação de scripts não confiáveis e isole o interpretador em processo restrito ou sandbox. Trate isso como controle compensatório, não como correção.

Orientações de detecção

• Inventarie aplicações que incorporam o Gravity e registre suas versões, principalmente as que avaliam scripts fornecidos por usuários ou terceiros.
• Monitore falhas, sinais de corrupção de memória ou comportamento inesperado de processos que executam scripts Gravity.
• Revise logs de avaliação de scripts de origem não confiável em nível geral, sem depender de assinaturas de payload específicas, já que nenhuma é fornecida no registro.

Limitações das informações disponíveis

• O registro não lista versões corrigidas em seus campos estruturados, então o limite 0.9.6 vem da faixa afetada e da referência de release.
• O source_status do registro é "Deferred", e seu significado não é explicado.
• Detalhes de exploração, código de prova de conceito e condições exatas para execução de código não são fornecidos, e esta análise não os acrescenta.
• O registro não descreve o layout de memória exato nem os requisitos de plataforma.

Perguntas frequentes

Quais versões do Gravity são afetadas pela CVE-2026-40504?

O registro lista como afetadas as versões anteriores à 0.9.6. Ele também lista uma faixa baseada em commit, então o histórico de commits upstream deve ser verificado para o seu build.

A CVE-2026-40504 é conhecida por ser explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC indica exploração em nível de prova de conceito.

O que os administradores devem fazer primeiro?

Inventariar as aplicações que incorporam o Gravity, atualizar para a 0.9.6 ou posterior quando possível e limitar a avaliação de scripts não confiáveis até concluir a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.