NASA F Prime: Out-of-bounds-Schreibzugriff durch ungeprüften Port-Index in GenericHub

Zusammenfassung

F Prime, ein Framework für Raumfahrt- und eingebettete Software, ist in Svc::GenericHub betroffen, der Komponente, die Pakete zwischen Knoten weiterleitet. Ein entferntes Hub-Paket mit einem Port-Index ausserhalb des konfigurierten Output-Port-Arrays lässt Builds mit aktivierten Assertions abbrechen, und Builds ohne Assertions können Heap-Speicher beschädigen, was Remote Code Execution ermöglichen könnte. Der CVE-Eintrag nennt keine Authentifizierungsanforderung; CVSS v4.0 bewertet die Schwachstelle als netzwerkseitig erreichbar ohne Berechtigungen und ohne Benutzerinteraktion.

Betroffen

• NASA F Prime ab 4.1.0 bis vor 4.2.0
• Komponente: Svc::GenericHub (Output-Port-Dispatch)
• CWE-129: Unzureichende Validierung eines Array-Index

Behoben in

• Behoben in F Prime 4.2.0 (Fix-Commit b56b536, PR #4929)
• Neuere Version 4.3.0 verfügbar und empfohlen, mit weiteren Sicherheitsfixes

Umgehung

• Unbekannt. Es ist kein Workaround dokumentiert; ein Update ist die einzige dokumentierte Massnahme.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Nicht im CISA-KEV-Katalog gelistet; in den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Der Status eines öffentlichen Proof-of-Concept ist unklar; ein Aggregator meldet keinen, mit geringer Zuverlässigkeit.

Unsere Empfehlung

• Prüfen Sie, ob Sie F Prime 4.1.x einsetzen und ob Hub-Verbindungen aus nicht vertrauenswürdigen Netzen erreichbar sind.
• Aktualisieren Sie auf F Prime 4.3.0 (mindestens 4.2.0) und bauen Sie betroffene Firmware und Ground-Software neu.
• Beschränken Sie den Netzwerkzugriff auf Hub-Schnittstellen, bis das Update eingespielt ist.
• Überwachen Sie Logs auf Assertion-Abbrüche oder unerwarteten Hub-Verkehr.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record context: GitHub fix commit b56b536 github.com
• Fix pull request #4929 github.com
• F Prime release v4.2.0 github.com
• GitHub Security Advisory GHSA-vv4x-5pmf-m59g github.com
• F Prime release v4.3.0 github.com
• OpenCVE record CVE-2026-92152 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:45.