CVE-2026-41551: Vulnerabilidade de Path Traversal no ROS#
A CVE-2026-41551 é uma vulnerabilidade de path traversal (CWE-23) no ROS# que afeta versões anteriores à V2.2.2, causada por sanitização insuficiente da entrada do usuário. O registro descreve que um atacante remoto poderia acessar arquivos arbitrários no dispositivo, e o CNA a classifica como crítica, com pontuação CVSS 3.1 de 9.1. As fontes consultadas não mostram exploração confirmada, e o registro não lista produtos afetados nem versões corrigidas.
Visão geral
A CVE-2026-41551 é uma fragilidade de path traversal (CWE-23, Relative Path Traversal) no ROS#. Segundo o registro, a falha existe porque a entrada fornecida pelo usuário não é devidamente sanitizada, e a faixa afetada abrange todas as versões anteriores à V2.2.2. O aviso do fabricante citado no registro é o Siemens SSA-357982.
Impacto
- O registro indica que um atacante remoto poderia acessar arquivos arbitrários no dispositivo.
- O CNA atribui pontuação base CVSS 3.1 de 9.1 e CVSS 4.0 de 9.3, ambas classificadas como crítica no registro.
- Com base no vetor CVSS 3.1 informado pelo CNA, o registro caracteriza a exploração como não exigindo privilégios nem interação do usuário.
Produtos e versões afetadas
- A descrição identifica como afetadas as versões do ROS# anteriores à V2.2.2.
- A lista estruturada de produtos afetados no registro está vazia, portanto nomes de produtos, modelos e variantes de build não podem ser confirmados apenas pelo registro.
Status de exploração
- O registro mostra que a CVE-2026-41551 não consta no catálogo Known Exploited Vulnerabilities da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
- A estimativa EPSS da FIRST presente no registro é de 0.0064 (percentil 0.49272), que representa uma probabilidade estatística de exploração e não uma evidência de exploração.
Correção e mitigação
- Identifique todas as instalações do ROS# e confirme a versão de cada uma.
- Consulte o aviso da Siemens em SSA-357982 para a orientação oficial do fabricante e a versão que resolve o problema.
- Como a descrição situa o limite em V2.2.2, sistemas com versões inferiores devem ser priorizados para análise, mas a versão corrigida exata deve ser obtida no aviso do fabricante.
- Restrinja a exposição de rede dos dispositivos afetados a segmentos confiáveis até que a correção do fabricante seja aplicada.
Orientações de detecção
- Revise os registros de acesso dos dispositivos ROS# em busca de requisições que façam referência a caminhos de arquivo incomuns ou inesperados.
- Monitore acessos a arquivos no dispositivo que fujam dos padrões operacionais normais.
- Mantenha o inventário de ativos atualizado para identificar rapidamente os dispositivos com versões afetadas.
Limitações das informações disponíveis
- O registro não contém lista estruturada de produtos afetados nem de versões corrigidas.
- O registro não descreve os endpoints específicos nem as condições que acionam a falha, e esta análise não os fornece.
- A data de EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada no feed EPSS atual.
- As fontes usadas aqui são apenas os registros do CNA e do NVD; o aviso completo do fabricante não foi analisado integralmente.
Perguntas frequentes
O que é a CVE-2026-41551?
É uma vulnerabilidade de path traversal (CWE-23) no ROS# que afeta versões anteriores à V2.2.2, causada por sanitização insuficiente da entrada do usuário.
Há exploração conhecida da CVE-2026-41551?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
O que os administradores devem fazer agora?
Identifique as instalações do ROS#, consulte o aviso Siemens SSA-357982 para a versão corrigida oficial e limite a exposição de rede até a correção ser aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.