CVE-2026-9142: NI grpc-device: credenciais padrão inseguras sem TLS no servidor
O NI grpc-device 2.17.0 e versões anteriores apresentam uma fraqueza de credenciais padrão inseguras (CWE-306) quando não há configuração TLS e o servidor está vinculado além do loopback. O registro classifica a severidade como crítica, com pontuação CVSS 3.1 de 9.1 e CVSS 4.0 de 9.3, e indica possível acesso não autenticado na rede local. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O NI grpc-device apresenta uma fraqueza de credenciais padrão inseguras, classificada como CWE-306, que corresponde à ausência de autenticação em uma função crítica. Segundo o registro, o problema se aplica quando não há configuração TLS e o servidor está vinculado além do loopback.
Impacto
- O vetor CVSS 3.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N indica acesso pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade e integridade.
- A pontuação base CVSS 3.1 informada pelo fornecedor é 9.1 e a pontuação CVSS 4.0 é 9.3, ambas classificadas como críticas.
- O registro menciona exposição na rede local, mas não descreve quais dados ou operações ficariam acessíveis.
Produtos e versões afetadas
- NI grpc-device: a descrição abrange a versão 2.17.0 e as anteriores, e a lista de afetados mostra versões abaixo de 2.18.0.
- NI InstrumentStudio: a lista de afetados mostra 2025 e anteriores, 2026-q1 e 2026-q2. O registro não explica como este produto se relaciona com a fraqueza do grpc-device.
Situação de exploração
O registro indica que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Consulte o aviso do fornecedor e o boletim de segurança da NI para confirmar a versão corrigida da sua linha de produto, pois o registro não lista nenhuma.
- Planeje a atualização para uma versão fora da faixa afetada. Inferência: versões a partir de 2.18.0 ficam fora da faixa listada para o grpc-device, mas confirme isso com o fornecedor.
- Até a aplicação da correção, evite vincular o servidor além do loopback quando não for necessário e limite o acesso de rede com firewalls locais ou segmentação.
- Quando o produto permitir, habilite TLS e autenticação conforme a documentação do fornecedor.
Orientação para detecção
- Inventarie os sistemas com NI grpc-device e NI InstrumentStudio e registre as versões instaladas.
- Revise os listeners de rede dos hosts que executam o servidor para identificar serviços vinculados além do loopback.
- Monitore conexões de entrada vindas de hosts inesperados na rede local e mantenha registros quando disponíveis.
Limitações das informações disponíveis
- Nenhuma versão corrigida consta no registro, então o limite 2.18.0 é uma inferência a partir da faixa afetada.
- O registro não descreve portas padrão, nomes de opções de configuração nem o comportamento exato da autenticação.
- A relação entre o NI InstrumentStudio e esta fraqueza é desconhecida.
- Dados de EPSS e SSVC não estão disponíveis no registro.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada na prática?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
A descrição abrange o NI grpc-device 2.17.0 e as versões anteriores, e a lista de afetados mostra versões abaixo de 2.18.0. O registro não informa versão corrigida, então consulte o aviso do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.