CVE-2026-5067: Leitura e escrita fora dos limites no upgrade WebSocket do servidor HTTP do Zephyr via Sec-WebSocket-Key
A CVE-2026-5067 afeta o caminho de upgrade WebSocket do servidor HTTP do Zephyr. Um cabeçalho Sec-WebSocket-Key construído de forma específica pode causar leituras e escritas fora dos limites na memória da pilha, o que, segundo o registro, pode levar a travamentos e potencialmente à execução de código. O registro classifica a falha como crítica, com CVSS 3.1 de 9.8, e o aviso do fornecedor é a principal referência de correção.
Visão geral
A CVE-2026-5067 é uma falha de segurança de memória no tratamento do upgrade WebSocket do servidor HTTP do Zephyr. Segundo o registro, o analisador de cabeçalhos HTTP/1 copia o cabeçalho Sec-WebSocket-Key com uma cópia limitada que pode não deixar um byte NUL de terminação, e o tratamento posterior de strings na pilha pode ler e escrever além do fim dos seus buffers. A fraqueza é classificada como CWE-787 (Escrita fora dos limites).
Impacto
O registro indica que a falha pode produzir leituras e escritas fora dos limites na memória da pilha, resultando em travamento (negação de serviço) e potencialmente execução de código. A pontuação base CVSS 3.1 é 9,8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, sem privilégios nem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade, conforme avaliado pelo CNA.
Produtos e versões afetadas
O registro lista duas entradas afetadas para o Zephyr:
- Zephyrproject Zephyr: de 3.7.0 até 4.3.0, inclusive.
- Zephyrproject-rtos Zephyr: de 3.7.0 antes de 4.3.1.
Segundo o registro, a falha só é alcançável quando CONFIG_HTTP_SERVER_WEBSOCKET está habilitado. Confirme a configuração de compilação exata e a versão de cada imagem de firmware implantada no aviso de segurança do GitHub.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa confirmada ali. As fontes consultadas não confirmam exploração in the wild. Os dados SSVC do registro marcam a exploração como prova de conceito e automatizável, o que indica que a viabilidade de exploração é considerada plausível, mas não confirma ataques observados. A probabilidade EPSS no registro é 0,00865.
Correção e mitigação
- Atualize o Zephyr para 4.3.1 ou posterior, já que o intervalo afetado da segunda entrada termina antes dessa versão. Verifique a correção no aviso do fornecedor.
- Enquanto a atualização não for possível, avalie se o recurso WebSocket do servidor HTTP é necessário. Se não for, desabilitar CONFIG_HTTP_SERVER_WEBSOCKET remove o caminho de código alcançável descrito no registro.
- Restrinja o acesso ao servidor HTTP a redes confiáveis sempre que possível, já que a falha é alcançável pela rede sem autenticação.
Orientações de detecção
- Monitore dispositivos com servidores HTTP do Zephyr quanto a travamentos inesperados, reinicializações por watchdog ou reboots, que podem indicar tentativas de corrupção de memória.
- Revise os logs do servidor HTTP em busca de requisições de upgrade WebSocket com cabeçalhos Sec-WebSocket-Key anormalmente longos ou malformados.
- Faça o inventário dos dispositivos por versão do Zephyr e pela configuração CONFIG_HTTP_SERVER_WEBSOCKET para priorizar os sistemas afetados.
Limitações das informações disponíveis
O registro não fornece uma versão corrigida explícita além do link do aviso, então a versão corrigida é inferida pelo fim do intervalo afetado em 4.3.1. O registro não descreve a técnica exata de exploração, os alvos de hardware afetados, nem se existe algum exploit público além do indicador de prova de conceito do SSVC. As fontes não confirmam se 4.3.1 é a única versão corretiva para todas as linhas de desenvolvimento.
Perguntas frequentes
A CVE-2026-5067 está sendo explorada ativamente?
O registro mostra que a CVE não está listada no KEV da CISA, e as fontes consultadas não confirmam exploração ativa. Os dados SSVC marcam a exploração como prova de conceito.
Quais versões do Zephyr são afetadas?
O registro lista de 3.7.0 até 4.3.0, inclusive, para uma entrada, e de 3.7.0 antes de 4.3.1 para a outra. A falha exige que CONFIG_HTTP_SERVER_WEBSOCKET esteja habilitado.
O que os administradores devem fazer primeiro?
Atualize para 4.3.1 ou posterior, quando possível. Se o suporte a WebSocket não for necessário, desabilite CONFIG_HTTP_SERVER_WEBSOCKET até a atualização ser aplicada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.