CVE-2026-48137: NI grpc-device: desreferência de ponteiro não confiável
Uma desreferência de ponteiro não confiável na API de streaming sideband do NI grpc-device pode permitir que um atacante cause uma desreferência arbitrária de memória, com potencial de execução remota de código. A exploração exige uma mensagem protobuf Moniker especialmente elaborada, e a NVD atribui pontuação 9,8 pelo CVSS 3.1. Nas fontes consultadas não há exploração confirmada, e o registro não informa versão corrigida.
Visão geral
A API de streaming sideband do NI grpc-device apresenta uma fraqueza de desreferência de ponteiro não confiável, classificada como CWE-822. O registro CVE descreve uma condição em que uma mensagem protobuf Moniker especialmente elaborada pode levar a uma desreferência arbitrária de memória. Informações do fornecedor estão disponíveis no aviso de segurança no GitHub e no boletim de segurança da NI.
Impacto
- O registro informa que a exploração bem-sucedida pode causar uma desreferência arbitrária de memória, com potencial de execução remota de código.
- O vetor CVSS 3.1 publicado pela NVD descreve vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, sem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- O CNA do fornecedor também publicou pontuação 9,3 no CVSS 4.0 e 9,1 no CVSS 3.1.
Produtos e versões afetadas
- A descrição indica que o NI grpc-device 2.17.0 e versões anteriores são afetados.
- A lista estruturada de afetados inclui o NI Grpc Device Server em versões abaixo de 2.18.0.
- A lista estruturada de afetados inclui o NI InstrumentStudio nas versões 2025 e anteriores, 2026-q1 e 2026-q2.
- O registro não informa versões corrigidas. Por inferência, 2.18.0 é o limite da faixa afetada, mas o registro não confirma explicitamente essa versão como correção.
Status de exploração
O catálogo KEV da CISA não lista este CVE no registro. Nas fontes consultadas não aparece exploração ativa confirmada nem exploração no mundo real. A pontuação EPSS não está disponível no registro.
Correção e mitigação
- Consulte os avisos do fornecedor e identifique todas as instalações do NI grpc-device Server e do NI InstrumentStudio.
- Planeje a atualização para a versão indicada pela NI e confirme a versão corrigida no aviso do fornecedor antes da implantação.
- Até a correção, limite a exposição de rede dos serviços grpc-device e restrinja o acesso apenas a clientes confiáveis.
- Aplique as orientações do fornecedor para os componentes afetados do InstrumentStudio.
Orientações de detecção
- Mantenha um inventário das versões do servidor grpc-device e do InstrumentStudio em ambientes de laboratório e industriais.
- Monitore os processos do servidor grpc-device quanto a travamentos, reinicializações ou erros de memória inesperados, que podem indicar tratamento anormal de entradas.
- Revise os registros de atividade de streaming sideband em busca de origens ou requisições incomuns.
Limitações das informações disponíveis
- O registro não contém versões corrigidas, portanto a versão-alvo de correção deve ser confirmada com o fornecedor.
- O registro não traz pontuação EPSS, dados SSVC nem detalhes de exploração.
- As strings de versão do InstrumentStudio usam formatos mistos, e mapeá-las para builds instalados pode exigir confirmação do fornecedor.
- A pontuação CVSS 3.1 da NVD (9,8) difere da pontuação CVSS 3.1 do fornecedor (9,1), e o motivo da diferença não é informado.
- O título do registro estava ausente e foi derivado do contexto de CWE e produto.
Perguntas frequentes
O que é o CVE-2026-48137?
É uma vulnerabilidade de desreferência de ponteiro não confiável (CWE-822) na API de streaming sideband do NI grpc-device. O registro indica que pode permitir desreferência arbitrária de memória e, potencialmente, execução remota de código.
Quais versões são afetadas?
A descrição indica que o NI grpc-device 2.17.0 e versões anteriores são afetados. A lista estruturada também cobre o NI Grpc Device Server abaixo de 2.18.0 e várias versões do NI InstrumentStudio.
Há exploração ativa dessa vulnerabilidade?
O CVE não aparece no catálogo KEV da CISA no registro, e nas fontes consultadas não há exploração confirmada.
O que administradores devem fazer agora?
Identificar as instalações afetadas, seguir os avisos da NI até a versão corrigida e restringir o acesso de rede aos serviços grpc-device até a correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.