CVE-2026-40959: Escape do sandbox Lua no Luanti via mod malicioso com LuaJIT
A CVE-2026-40959 é uma vulnerabilidade crítica no Luanti 5 anterior à 5.15.2 quando o LuaJIT é utilizado, permitindo escapar do sandbox Lua por meio de um mod malicioso. O registro atribui pontuação 9,3 pelo CVSS 3.1, com vetor local e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e os dados estruturados de versões afetadas e corrigidas ainda estão vazios.
Visão geral O registro CVE descreve um escape do sandbox Lua no Luanti 5 anterior à 5.15.2 quando o LuaJIT é utilizado. A fraqueza está associada ao CWE-829, inclusão de funcionalidade de uma esfera de controle não confiável, e o caminho de ataque descrito envolve um mod criado de forma maliciosa. Os mantenedores do Luanti publicaram um aviso de segurança no GitHub, disponível em o aviso GHSA. ## Impacto O registro atribui pontuação base 9,3 no CVSS 3.1, com vetor AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, que indica alto impacto em confidencialidade, integridade e disponibilidade, além de mudança de escopo. Um escape de sandbox significa que código de um mod pode alcançar funcionalidades que o sandbox deveria restringir. As consequências práticas em servidores ou clientes implantados não são descritas nos dados disponíveis. ## Produtos e versões afetados - Luanti 5 anterior à 5.15.2, quando o LuaJIT é utilizado, conforme a descrição. - A lista estruturada de produtos afetados no registro está vazia, por isso o intervalo afetado deve ser confirmado no aviso do fornecedor. ## Status de exploração Não há exploração confirmada nas fontes consultadas. Segundo o registro, a CVE não consta no catálogo CISA KEV. A probabilidade EPSS é baixa, 0,00194, com percentil de 0,08385. ## Correção e mitigação - Verifique a versão do Luanti em uso e planeje a atualização para a 5.15.2 ou posterior, já que a faixa vulnerável é indicada como anterior à 5.15.2. - Onde o LuaJIT estiver em uso, priorize servidores e clientes que carregam mods de terceiros ou não confiáveis. - Restrinja a instalação de mods a fontes confiáveis e revise o código dos mods antes da implantação até que builds corrigidos estejam disponíveis. ## Orientações de detecção - Inventarie as instalações do Luanti e registre se o LuaJIT está habilitado. - Audite os mods instalados e as alterações recentes em busca de código inesperado ou não verificado. - Monitore os logs dos servidores de jogo em busca de erros Lua ou comportamento incomum de mods, tratando esses sinais como motivo para revisão e não como comprometimento confirmado. ## Limitações das informações disponíveis O registro não traz versões afetadas estruturadas, campo de versão corrigida nem nome do CWE. Os detalhes de correção publicados pelo fornecedor aparecem apenas indiretamente, por meio dos commits e do aviso referenciados. Detalhes de exploração, disponibilidade de prova de conceito e impacto real não constam no registro.
Perguntas frequentes
O que é a CVE-2026-40959?
É uma vulnerabilidade crítica no Luanti 5 anterior à 5.15.2 quando o LuaJIT é utilizado, permitindo escapar do sandbox Lua por meio de um mod malicioso.
A CVE-2026-40959 é explorada ativamente?
Segundo o registro, a CVE não consta no catálogo CISA KEV, e não há exploração confirmada nas fontes consultadas.
O que administradores devem fazer?
Verificar se o LuaJIT está habilitado, planejar a atualização para a 5.15.2 ou posterior e restringir mods a fontes confiáveis e revisadas até a instalação de builds corrigidos.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.