Уязвимость повреждения памяти в VxWorks 7 (CVE-2026-102004)
В операционной системе реального времени VxWorks 7 обнаружена уязвимость высокого риска, связанная с повреждением памяти в подсистеме управления памятью. Проблема затрагивает версии до 26.09 и может эксплуатироваться локально. Исправление уже выпущено производителем.
Подробности
Уязвимость затрагивает VxWorks 7 версий ранее 26.09. По данным CVE Project, при передаче определённых аргументов в системные вызовы может возникать повреждение памяти в подсистеме управления памятью (memory management subsystem). Это создаёт условия для нарушения целостности данных, нестабильной работы системы или потенциального выполнения произвольного кода в контексте уязвимого процесса. Уязвимости присвоен базовый балл CVSS 7.8, что соответствует высокому уровню критичности. Такой показатель обычно означает возможность серьёзного воздействия на конфиденциальность, целостность и доступность системы, однако для эксплуатации, как правило, требуются определённые условия — в частности, локальный доступ или возможность влиять на передаваемые системные вызовы. Точный вектор атаки в записи CVE не детализирован. Отдельно отмечается, что VxWorks применяется в устройствах, где цена ошибки особенно высока: промышленные контроллеры, бортовые системы, сетевое оборудование. Поэтому даже локальная по характеру уязвимость в подсистеме управления памятью представляет существенный риск — она может использоваться как этап в цепочке атаки или для дестабилизации устройства.Что делать
Производитель выпустил исправление в версии VxWorks 7 26.09. Основная рекомендация — как можно скорее обновить систему до этой или более поздней версии. Для устройств, которые невозможно обновить немедленно, целесообразно рассмотреть компенсирующие меры: - ограничить локальный и удалённый доступ к отладочным интерфейсам и сервисам устройства; - сегментировать сети, в которых работают устройства на VxWorks 7, чтобы снизить возможности lateral movement; - усилить мониторинг аномального поведения — перезагрузок, сбоев процессов, обращений к подозрительным системным вызовам; - согласовать с вендором устройства график обновления прошивки, если ОС поставляется в составе готового изделия. Важно учитывать, что в embedded-сегменте обновление часто зависит не от конечного пользователя, а от производителя устройства, поэтому имеет смысл направить официальный запрос вендору с указанием CVE-2026-102004. Итог: CVE-2026-102004 — уязвимость высокого риска в VxWorks 7, связанная с повреждением памяти в подсистеме управления памятью. Исправление доступно в версии 26.09, и обновление остаётся наиболее надёжным способом защиты. Организациям, использующим VxWorks 7 в критичных системах, рекомендуется провести инвентаризацию устройств и обеспечить их своевременное обновление.Источник: CVE Project (cvelistV5)