CVE-2026-46752: Apache Kvrocks: estouro de heap na biblioteca cjson do Lua
A CVE-2026-46752 é um estouro de buffer baseado em heap (CWE-122) na biblioteca cjson usada por meio de scripts Lua no Apache Kvrocks. O registro informa que as versões de 2.0.4 até 2.15.0 são afetadas e recomenda atualizar para a 2.16.0. O registro classifica a falha como crítica, com pontuação base CVSS 4.0 igual a 10, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-46752 é um estouro de buffer baseado em heap que afeta a biblioteca cjson usada por meio de scripts Lua no Apache Kvrocks. O CNA security@apache.org publicou o registro em 25/06/2026, e o texto informa que a correção está na versão 2.16.0.
Impacto
- O vetor CVSS 4.0 do registro indica vetor de ataque pela rede, sem privilégios necessários e sem interação do usuário.
- O vetor aponta alto impacto de confidencialidade, integridade e disponibilidade no sistema vulnerável, e alto impacto em sistemas subsequentes.
- A pontuação base CVSS 4.0 é 10, classificada no registro como crítica.
Produtos e versões afetadas
- A descrição indica que as versões do Apache Kvrocks de 2.0.4 até 2.15.0 são afetadas.
- Os campos estruturados de afetados e correções do registro estão vazios, portanto a descrição é a única fonte de versões disponível aqui.
- A versão 2.16.0 é a recomendada pela descrição para atualização.
Status de exploração
- O registro indica KEV como não listado, ou seja, não há entrada no catálogo KEV da CISA para esta CVE.
- Não aparece exploração confirmada na natureza nas fontes consultadas.
Correção e mitigação
- A principal recomendação do registro é atualizar o Apache Kvrocks para a versão 2.16.0.
- Enquanto a atualização não for aplicada, reduzir a exposição de rede das instâncias do Kvrocks e restringir o acesso a clientes confiáveis é uma medida defensiva razoável. O registro não descreve um workaround específico.
- Consulte o aviso do fornecedor nas referências para os detalhes oficiais de correção.
Orientações de detecção
- Faça o inventário de todas as implantações do Kvrocks e registre suas versões exatas, especialmente as de 2.0.4 a 2.15.0.
- Revise os controles de acesso e a origem dos clientes que podem executar scripts Lua no serviço.
- Monitore logs e a estabilidade do processo para falhas ou reinicializações inesperadas, que podem indicar problemas de corrupção de memória, sem tratá-las como confirmação de comprometimento.
Limitações das informações disponíveis
- O campo de título do registro é nulo, então o título desta análise foi escrito a partir da descrição.
- Os dados de EPSS e SSVC estão ausentes, então a probabilidade de exploração é desconhecida a partir do registro.
- As listas estruturadas de afetados e correções estão vazias, então os intervalos de versão vêm apenas do texto da descrição.
- Não há detalhes de exploração, referências de prova de conceito ou análise técnica específica do fornecedor no registro.
Perguntas frequentes
Quais versões do Apache Kvrocks são afetadas pela CVE-2026-46752?
A descrição do registro informa que as versões de 2.0.4 até 2.15.0 são afetadas. A lista estruturada de afetados está vazia, então a descrição é a fonte desse intervalo.
Qual versão deve ser usada para corrigir o problema?
O registro recomenda atualizar o Apache Kvrocks para a versão 2.16.0, que segundo a descrição corrige o problema.
Há exploração ativa conhecida desta vulnerabilidade?
O registro indica que ela não está listada no catálogo KEV da CISA, e não aparece exploração confirmada na natureza nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.