Plataforma
c
Componente
ngtcp2
Corrigido em
1.22.2
CVE-2026-40170 describes a buffer overflow vulnerability affecting the ngtcp2 library, a C implementation of the IETF QUIC protocol. This vulnerability allows a remote attacker to trigger a stack overflow, potentially leading to denial of service or, in more severe cases, code execution. The vulnerability impacts versions 1.0.0 through 1.22.0 of ngtcp2 and has been resolved in version 1.22.1.
A vulnerabilidade CVE-2026-40170 em ngtcp2, uma implementação em C do protocolo QUIC, representa um risco de estouro de buffer de pilha. Versões anteriores a 1.22.1 são suscetíveis a este problema. Especificamente, a função ngtcp2qlogparameterssettransport_params() serializa os parâmetros de transporte do par em um buffer de pilha de tamanho fixo de 1024 bytes sem realizar verificações de limites. Quando o qlog está habilitado, um par remoto pode enviar parâmetros de transporte excessivamente grandes durante o handshake QUIC, causando escritas além do limite do buffer. Isso pode permitir que um atacante execute código arbitrário ou cause uma negação de serviço. A gravidade desta vulnerabilidade é classificada como CVSS 7.5. O risco é maior em ambientes onde o callback de qlog está habilitado e pares não confiáveis são processados.
A exploração desta vulnerabilidade requer que o callback de qlog esteja habilitado no sistema ngtcp2 vulnerável. Um atacante pode enviar um pacote QUIC malicioso com parâmetros de transporte projetados para exceder o tamanho do buffer de 1024 bytes. O sucesso da exploração depende da capacidade do atacante de controlar os parâmetros de transporte enviados durante o handshake QUIC. Devido à natureza do protocolo QUIC, a exploração pode ser difícil de alcançar sem um conhecimento profundo do protocolo e a capacidade de manipular os pacotes QUIC. No entanto, uma vez explorada, a vulnerabilidade pode permitir que um atacante comprometa o sistema.
Status do Exploit
EPSS
0.05% (percentil 15%)
Vetor CVSS
A mitigação principal para CVE-2026-40170 é atualizar para a versão 1.22.1 ou posterior de ngtcp2. Esta versão corrige a vulnerabilidade implementando verificações de limites adequadas ao serializar os parâmetros de transporte. Se a atualização imediata não for possível, desabilitar o callback de qlog pode reduzir o risco, embora isso possa afetar a capacidade de depuração e análise de tráfego. Recomenda-se uma revisão completa da configuração do ngtcp2 para garantir que apenas pares de confiança sejam processados e que a exposição a possíveis ataques seja minimizada. Monitorar os logs do sistema em busca de comportamentos incomuns também pode ajudar a detectar possíveis tentativas de exploração.
Actualice a la versión 1.22.1 o posterior para evitar el desbordamiento del búfer de la pila. Si no es posible actualizar, desactive la funcionalidad de registro (qlog) en el cliente para mitigar el riesgo.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
ngtcp2 é uma implementação em C do protocolo QUIC, um protocolo de transporte de internet de próxima geração.
Esta vulnerabilidade pode permitir que um atacante execute código arbitrário ou cause uma negação de serviço em sistemas que utilizam ngtcp2.
Se você estiver usando uma versão do ngtcp2 anterior a 1.22.1 e tiver o callback de qlog habilitado, provavelmente estará afetado.
Desabilitar o callback de qlog pode reduzir o risco, mas afetará a capacidade de depuração.
Consulte a página de CVE-2026-40170 no National Vulnerability Database (NVD) ou a documentação do ngtcp2.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.