🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma falha de segurança de alta gravidade que afeta a plataforma de desenvolvimento de código aberto Windmill está sob exploração ativa, de acordo com VulnCheck.
A vulnerabilidade em questão é CVE-2026-29059 (pontuação CVSS: 7,5), um caso de passagem de caminho não autenticada afetando o endpoint "get_log_file" do Windmill ("/api/w/{workspace}/jobs_u/get_log_file/{filename}").
“O parâmetro filename é concatenado em um caminho de arquivo sem higienização, permitindo que um invasor leia arquivos arbitrários no servidor usando sequências ../”, de acordo com um comunicado publicado pela Windmill em março de 2026.
"O principal valor sensível exposto por esta vulnerabilidade é a variável de ambiente SUPERADMIN_SECRET, legível via /proc/1/environ. Quando definido, este segredo pode ser usado como um token de portador para autenticar como superadministrador e executar código arbitrário por meio da API de visualização de trabalho."
No entanto, é importante notar que SUPERADMIN_SECRET não é definido por padrão e, para instâncias autônomas do Windmill sem SUPERADMIN_SECRET configurado, o impacto da vulnerabilidade é limitado à leitura arbitrária de arquivos. Desde então, o problema foi resolvido no Windmill 1.603.3, lançado em janeiro de 2026, adicionando verificações de sanitização ao parâmetro filename para evitar a passagem do diretório.
De acordo com VulnCheck, cujo pesquisador de segurança Valentin Lobstein é creditado por descobrir e relatar a falha, os esforços de exploração foram direcionados contra o endpoint “get_log_file” do Windmill para extrair informações confidenciais do arquivo “/etc/passwd”.
“Observamos explorações direcionadas tanto aos endpoints diretos do Windmill quanto ao caminho do proxy Nextcloud”, disse Caitlin Condon, vice-presidente de pesquisa de segurança da VulnCheck, em um post no LinkedIn.
A empresa de segurança cibernética disse ter identificado cerca de 170 sistemas vulneráveis expostos em 24 países.
A divulgação ocorre no momento em que a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adiciona quatro falhas de segurança ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), incluindo dois bugs do WordPress rastreados como wp2shell (CVE-2026-60137 e CVE-2026-63030), junto com um buffer overflow baseado em pilha em DD-WRT (CVE-2021-27137) e um problema de execução remota de código não autenticado em Langflow (CVE-2026-0770).
“wp2shell é um dos eventos de segurança mais significativos do WordPress Core nos últimos anos”, disse Wordfence. “A combinação de acessibilidade não autenticada, nenhum plugin ou exigência de tema, uma grande superfície de ataque global, um caminho para acesso de administrador e execução de código, bem como disponibilidade de exploração de prova de conceito pública torna esta cadeia de vulnerabilidade excepcionalmente séria.”
Os dados de ataque capturados pela empresa de segurança WordPress mostram que os agentes de ameaças estão emitindo solicitações para explorar o problema de confusão de rotas de solicitações em lote da API REST e uma injeção de SQL não autenticada para obter a execução do código.
Quanto ao CVE-2026-0770, Ryan Dewhurst da KEVIntel disse ao The Hacker News que detectou pela primeira vez tentativas de exploração visando a falha contra seus sensores em 27 de junho de 2026, registrando 137 tentativas de exploração de 46 endereços IP de invasores exclusivos associados a 17 países.
Nada menos que 75 tentativas, que representam mais da metade da atividade, originaram-se de 20 endereços IP de invasores durante os últimos sete dias. As cargas observadas incluem verificações de execução de comandos básicos, tentativas de extrair o conteúdo de "/etc/passwd" ou acessar credenciais da AWS, coleta de variáveis de ambiente, downloads de malware usando wget ou curl e execução de script de shell para instalar cargas de segundo estágio.
“A atividade não se limita a verificações de vulnerabilidade”, disse Dewhurst. “Embora grande parte envolvesse comandos como id, whoami e leitura de /etc/passwd, também observamos cargas tentando baixar malware e obter variáveis de ambiente, credenciais da AWS e metadados de contêiner”.
Os órgãos do Poder Executivo Civil Federal (FCEB) são orientados a sanar as falhas identificadas até 24 de julho de 2026.
A vulnerabilidade em questão é CVE-2026-29059 (pontuação CVSS: 7,5), um caso de passagem de caminho não autenticada afetando o endpoint "get_log_file" do Windmill ("/api/w/{workspace}/jobs_u/get_log_file/{filename}").
“O parâmetro filename é concatenado em um caminho de arquivo sem higienização, permitindo que um invasor leia arquivos arbitrários no servidor usando sequências ../”, de acordo com um comunicado publicado pela Windmill em março de 2026.
"O principal valor sensível exposto por esta vulnerabilidade é a variável de ambiente SUPERADMIN_SECRET, legível via /proc/1/environ. Quando definido, este segredo pode ser usado como um token de portador para autenticar como superadministrador e executar código arbitrário por meio da API de visualização de trabalho."
No entanto, é importante notar que SUPERADMIN_SECRET não é definido por padrão e, para instâncias autônomas do Windmill sem SUPERADMIN_SECRET configurado, o impacto da vulnerabilidade é limitado à leitura arbitrária de arquivos. Desde então, o problema foi resolvido no Windmill 1.603.3, lançado em janeiro de 2026, adicionando verificações de sanitização ao parâmetro filename para evitar a passagem do diretório.
De acordo com VulnCheck, cujo pesquisador de segurança Valentin Lobstein é creditado por descobrir e relatar a falha, os esforços de exploração foram direcionados contra o endpoint “get_log_file” do Windmill para extrair informações confidenciais do arquivo “/etc/passwd”.
“Observamos explorações direcionadas tanto aos endpoints diretos do Windmill quanto ao caminho do proxy Nextcloud”, disse Caitlin Condon, vice-presidente de pesquisa de segurança da VulnCheck, em um post no LinkedIn.
A empresa de segurança cibernética disse ter identificado cerca de 170 sistemas vulneráveis expostos em 24 países.
A divulgação ocorre no momento em que a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adiciona quatro falhas de segurança ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), incluindo dois bugs do WordPress rastreados como wp2shell (CVE-2026-60137 e CVE-2026-63030), junto com um buffer overflow baseado em pilha em DD-WRT (CVE-2021-27137) e um problema de execução remota de código não autenticado em Langflow (CVE-2026-0770).
“wp2shell é um dos eventos de segurança mais significativos do WordPress Core nos últimos anos”, disse Wordfence. “A combinação de acessibilidade não autenticada, nenhum plugin ou exigência de tema, uma grande superfície de ataque global, um caminho para acesso de administrador e execução de código, bem como disponibilidade de exploração de prova de conceito pública torna esta cadeia de vulnerabilidade excepcionalmente séria.”
Os dados de ataque capturados pela empresa de segurança WordPress mostram que os agentes de ameaças estão emitindo solicitações para explorar o problema de confusão de rotas de solicitações em lote da API REST e uma injeção de SQL não autenticada para obter a execução do código.
Quanto ao CVE-2026-0770, Ryan Dewhurst da KEVIntel disse ao The Hacker News que detectou pela primeira vez tentativas de exploração visando a falha contra seus sensores em 27 de junho de 2026, registrando 137 tentativas de exploração de 46 endereços IP de invasores exclusivos associados a 17 países.
Nada menos que 75 tentativas, que representam mais da metade da atividade, originaram-se de 20 endereços IP de invasores durante os últimos sete dias. As cargas observadas incluem verificações de execução de comandos básicos, tentativas de extrair o conteúdo de "/etc/passwd" ou acessar credenciais da AWS, coleta de variáveis de ambiente, downloads de malware usando wget ou curl e execução de script de shell para instalar cargas de segundo estágio.
“A atividade não se limita a verificações de vulnerabilidade”, disse Dewhurst. “Embora grande parte envolvesse comandos como id, whoami e leitura de /etc/passwd, também observamos cargas tentando baixar malware e obter variáveis de ambiente, credenciais da AWS e metadados de contêiner”.
Os órgãos do Poder Executivo Civil Federal (FCEB) são orientados a sanar as falhas identificadas até 24 de julho de 2026.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hackers #exploram #falha #do #windmill #para #ler #arquivos #arbitrários #do #servidor #sem #autenticação
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário