CVE-2026-41144: Estouro de Inteiro no FileUplink do F Prime Permite Escrita Arbitrária de Arquivos

Visão geral

O F Prime (F´) é um framework para desenvolvimento de software de voo espacial e de outros sistemas embarcados. O registro, baseado em aviso publicado, descreve um estouro de inteiro na verificação de limites usada pelo componente FileUplink. A verificação usa aritmética sem sinal de 32 bits que pode sofrer wraparound, o que, segundo o registro, permite que uma entrada elaborada contorne a checagem. O registro também indica que o caminho do arquivo de destino, no mesmo componente, não é sanitizado.

Impacto

O registro afirma que as fraquezas combinadas permitem gravar dados arbitrários em arquivos, em deslocamentos arbitrários.
O registro afirma que isso pode levar a execução remota de código em alvos embarcados. Essa consequência não foi verificada de forma independente nas fontes consultadas.
Segundo o registro, trata-se de um erro de lógica em operações de I/O de arquivo, que ferramentas de segurança de memória como o ASAN não detectam.
O NVD lista pontuação CVSS base de 9.8 com severidade crítica. O registro também lista pontuações zeradas de provedores ligados ao GitHub, que esta análise não considera pontuações válidas.

Produtos e versões afetadas

NASA F Prime (listado como Nasa Fprime), versão 4.1.1.
NASA F Prime, versões anteriores à 4.2.0.
O registro indica que a versão 4.2.0 contém a correção.

Status de exploração

O registro não indica inclusão deste CVE no catálogo KEV da CISA.
O registro lista probabilidade EPSS de 0.00772 e percentil de 0.55221.
O registro lista a exploração no modelo SSVC como none.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o F Prime para a versão 4.2.0 ou posterior, que o registro identifica como contendo a correção.
Revise o commit upstream e o aviso de segurança do GitHub para detalhes da correção.
O registro afirma que não há workarounds conhecidos. Até a conclusão da atualização, limitar a exposição de rede da interface de uplink de arquivos a fontes confiáveis é uma medida defensiva geral, não um workaround verificado pelas fontes.
Planeje a validação do firmware ou da build de software afetada após a atualização.

Orientações de detecção

Monitore criações ou modificações inesperadas de arquivos no software de voo ou no armazenamento embarcado, especialmente escritas iniciadas pelo caminho de uplink.
Compare a integridade dos arquivos com linhas de base conhecidas após transferências recebidas de interfaces externas ou não confiáveis.
Revise registros de atividade de uplink de arquivos em busca de transferências que não correspondam aos procedimentos operacionais esperados.

Limitações das informações disponíveis

O registro não informa quais implantações ou configurações expõem a interface de uplink.
O registro não traz verificação independente do desfecho de execução remota de código.
A data EPSS no registro (2026-10-23) é posterior à data de publicação (2026-04-22), por isso sua confiabilidade é desconhecida.
As strings de versão afetadas se limitam às declaradas no registro.

Perguntas frequentes

Quais versões do F Prime são afetadas pelo CVE-2026-41144?

O registro lista a versão 4.1.1 e as versões anteriores à 4.2.0 como afetadas. O registro afirma que a versão 4.2.0 contém a correção.

O CVE-2026-41144 é conhecido por ser explorado ativamente?

O registro mostra que o CVE não está no catálogo KEV da CISA e que nenhuma exploração confirmada aparece nas fontes consultadas. O registro lista probabilidade EPSS de 0.00772.

O que os operadores devem fazer agora?

Atualizar para a versão 4.2.0 ou posterior, conforme o registro. O registro afirma que não há workarounds conhecidos, então limitar a exposição de rede da interface de uplink é uma medida defensiva geral a considerar durante a correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.