CVE-2026-4018
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Podatność TOCTOU (Time-of-Check Time-of-Use) w konkretnych poleceniach śledzenia wywołania systemowego TraceEvent() umożliwia atakującemu z lokalnym dostępem i uprawnieniem PROCMGR_AID_TRACE spowodowanie ujawnienia informacji, manipulacji danymi lub awarii jądra QNX Neutrino.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych, nieautoryzowaną modyfikację krytycznych informacji systemowych oraz potencjalne przerwy w działaniu usług z powodu awarii jądra systemu operacyjnego.
Rekomendacja
Należy niezwłocznie zastosować łatkę bezpieczeństwa dostarczoną przez producenta QNX oraz ograniczyć dostęp lokalny i przyznawanie uprawnienia PROCMGR_AID_TRACE tylko zaufanym użytkownikom.
Inne podatności w QNX Neutrino
Zobacz wszystkie- CVE-2026-4017Wysokie
Podatność przepełnienia bufora w procedurze obsługi wywołania systemowego TraceEvent() może pozwolić lokalnemu atakującemu na ujawnienie informacji, modyfikację danych lub awarię jądra QNX Neutrino.
- CVE-2026-0515Średnie
Podatność w wywołaniu systemowym SchedGet() w systemie QNX Neutrino wynika z niewystarczającej walidacji parametrów. Lokalny atakujący może wykorzystać ten błąd, aby doprowadzić do awarii jądra systemu.
Oryginalny opis (angielski, źródło NVD)
TOCTOU Race Condition in specific trace commands of the TraceEvent() system call could allow an attacker with local access and with the PROCMGR_AID_TRACE ability, to cause information disclosure, data tampering or a crash of the QNX Neutrino kernel.