CVE-2026-42996: Estouro de buffer baseado em pilha em JS8Call e JS8Call-improved no tratamento de grid APRS

Visão geral

Este registro descreve um estouro de buffer baseado em pilha (CWE-121) na função grid2deg de APRSISClient.cpp, que afeta o JS8Call até a versão 2.3.1 inclusive e o JS8Call-improved em versões anteriores à 3.0. Segundo a descrição, a condição é atingida quando o software processa uma transmissão de rádio contendo a mensagem @APRSIS GRID seguida de um localizador Maidenhead longo.

Impacto

O registro classifica a pontuação base CVSS 4.0 como 10, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável.
O SSVC indica impacto técnico total e a propriedade automatizável como sim.
Estouros de buffer na pilha podem corromper a memória do programa. Se essa falha específica permite execução de código não é informado no registro e constitui uma inferência que exige confirmação do fornecedor ou de pesquisadores.

Produtos e versões afetados

JS8Call: versões até a 2.3.1.
JS8Call-improved: versões anteriores à 3.0.

O registro não lista versões corrigidas. A ausência de uma correção listada não significa que ela não exista, e o status do commit referenciado em relação a este problema não é informado no registro.

Estado de exploração

O catálogo KEV da CISA não lista este CVE. Não há exploração confirmada na natureza nas fontes consultadas. O SSVC registra o estado de exploração como poc, o que indica atividade de prova de conceito nos dados, mas isso não equivale a exploração ativa confirmada. A probabilidade EPSS é 0,00566, com percentil de 0,45489.

Correção e mitigação

Identifique todas as instalações de JS8Call e JS8Call-improved e suas versões exatas.
Analise o aviso de segurança do JS8Call-improved e o commit referenciado para verificar se uma versão atualizada trata este problema, confirmando com os mantenedores.
Quando não for possível atualizar imediatamente, restrinja o uso dessas aplicações em sistemas não confiáveis ou compartilhados e limite a exposição do host a entradas de origem rádio não confiáveis, na medida do possível no ambiente operacional.
Considere a exposição do software por meio de sua conectividade com a APRS-IS e planeje a atualização rápida assim que uma versão corrigida verificada for publicada.

Orientações de detecção

Monitore falhas ou reinicializações inesperadas dos processos do JS8Call ou JS8Call-improved, que podem indicar corrupção de memória.
Revise registros e relatórios em busca de mensagens APRS-IS incomuns relacionadas a grid, reconhecendo que o registro não descreve indicadores de comprometimento específicos.
Mantenha o registro de eventos de endpoint e do host ativo nos sistemas que executam essas aplicações.

Limitações das informações disponíveis

O registro não fornece versão corrigida nem declaração do fornecedor sobre a correção.
Não descreve o layout exato da memória, as condições de exploração além do gatilho informado, nem se é possível executar código.
O registro na NVD e a referência ao código do JS8Call embasam a descrição técnica, e nenhum aviso adicional do fornecedor do JS8Call foi fornecido no registro.

Perguntas frequentes

Quais versões são afetadas pelo CVE-2026-42996?

O registro indica JS8Call até a versão 2.3.1 e JS8Call-improved anterior à 3.0 como afetados. Nenhuma versão corrigida é listada no registro.

Esta vulnerabilidade está sendo explorada ativamente?

O CVE não consta no catálogo KEV da CISA, e não há exploração confirmada na natureza nas fontes consultadas. O SSVC registra o estado de exploração como poc.

O que administradores devem fazer agora?

Inventariar as instalações afetadas, verificar com os mantenedores o aviso do JS8Call-improved e o commit referenciado em busca de uma build atualizada, e restringir o uso em sistemas não confiáveis até que uma correção verificada seja aplicada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.