Уязвимость выхода за границы буфера в NASA cFS (CVE-2026-105164)

В открытом космическом программном обеспечении NASA core Flight System (cFS) выявлена уязвимость, получившая идентификатор CVE-2026-105164. Проблема затрагивает компонент файловой системы (fs) и может эксплуатироваться удалённо, что делает её значимой для проектов, использующих cFS в качестве бортовой или наземной платформы.

Подробности

Уязвимость присутствует в NASA cFS вплоть до версии 7.0.1 включительно. Она связана с функцией CFE_FS_ParseInputFileNameEx, реализованной в файле cfe/modules/fs/fsw/src/cfe_fs_api.c. При обработке входных данных функция допускает выход за границы буфера (out-of-bounds read), то есть чтение памяти за пределами выделенной области. Согласно описанию, эксплуатация возможна удалённо. Уязвимости присвоена оценка CVSS 5.1, что соответствует среднему уровню критичности. На текущий момент pull request с исправлением ожидает принятия, поэтому официального патча в стабильной ветке ещё нет.

Что делать

Поскольку исправление пока не принято в upstream, рекомендуется применять компенсирующие меры. В первую очередь следует ограничить сетевой доступ к интерфейсам, через которые обрабатываются входные имена файлов, и по возможности валидировать передаваемые значения на стороне вызывающего кода. Организациям, использующим cFS, стоит отслеживать статус pull request с исправлением и как можно быстрее установить обновление после его принятия и выпуска. Дополнительно целесообразно усилить мониторинг обращений к файловой подсистеме и провести анализ конфигураций, где компонент fs доступен из недоверенных сегментов сети. Итог: CVE-2026-105164 — умеренно опасная уязвимость чтения за границами буфера в NASA cFS, способная эксплуатироваться удалённо. До выхода официального патча ключевыми мерами защиты остаются сетевое ограничение доступа и валидация входных данных, а после принятия исправления — оперативное обновление.

Источник: CVE Project (cvelistV5)