CVE-2026-100103: Bypass de autenticação por token padrão no Perforce P4Search
Imagens de contêiner do Perforce P4 Search anteriores a 2026.4.2 redefinem o token de autenticação do serviço para um valor padrão publicamente documentado. Um atacante não autenticado com acesso à rede pode obter o maior privilégio na aplicação, o que pode levar à execução de código e ao comprometimento do P4 Server conectado.
Visão geral
A Perforce divulgou um bypass de autenticação que afeta imagens de contêiner do P4 Search anteriores a 2026.4.2. As imagens afetadas definem o token de autenticação do serviço com um valor publicamente documentado, de modo que qualquer pessoa que conheça esse padrão pode autenticar-se no serviço.
Impacto
- Um atacante não autenticado com acesso à rede pode obter o maior privilégio dentro da aplicação.
- O registro indica que isso pode levar à execução arbitrária de código e ao comprometimento do P4 Server conectado.
- A avaliação CVSS fornecida no registro é 10 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Imagens de contêiner do Perforce P4 Search anteriores a 2026.4.2.
- O registro indica a faixa afetada como 2026.4.1 e anteriores, o que é coerente com o limite 2026.4.2 descrito no texto.
- O campo de produto no registro contém uma variação ortográfica do nome do fabricante, por isso o aviso oficial do fabricante deve ser usado como referência autoritativa.
Status de exploração
O registro mostra que a CVE não está listada no catálogo KEV da CISA. Não há exploração confirmada no ambiente real nas fontes consultadas. A EPSS indica probabilidade de 0,00424 (percentil 0,35652) em 2026-10-23, e os dados SSVC registram exploração como none e automatizável como no.
Correção e mitigação
- Atualize as imagens de contêiner do P4 Search para 2026.4.2 ou superior, já que a descrição indica que essa versão trata o comportamento do token padrão.
- Até concluir a atualização, restrinja o acesso de rede ao serviço P4 Search a hosts administrativos confiáveis.
- Após a atualização, confirme que o token de autenticação do serviço não é mais o valor padrão documentado e troque credenciais que possam ter sido expostas.
- Consulte o aviso do fabricante para orientações adicionais.
Orientações de detecção
- Revise os logs de acesso do P4 Search em busca de requisições administrativas ou privilegiadas inesperadas vindas de origens desconhecidas.
- Faça o inventário das imagens de contêiner implantadas e de suas configurações para identificar instâncias com versões anteriores a 2026.4.2.
- Monitore o P4 Server conectado em busca de alterações inesperadas, especialmente após qualquer atividade suspeita no P4 Search.
Limitações das informações disponíveis
O registro não contém lista de versões corrigidas nem referências estruturadas de correção, de modo que o limite 2026.4.2 vem da descrição. A lista de tags de imagens afetadas, os padrões de implantação e eventuais pré-requisitos além da acessibilidade de rede são desconhecidos. O status do registro é Awaiting Analysis, portanto a pontuação e os detalhes podem mudar.
Perguntas frequentes
Quais versões do P4 Search são afetadas?
Segundo a descrição, imagens de contêiner anteriores a 2026.4.2 são afetadas. O registro indica a faixa como 2026.4.1 e anteriores. As tags exatas de imagens afetadas são desconhecidas a partir do registro.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que a CVE não está listada no catálogo KEV da CISA, e não há exploração confirmada no ambiente real nas fontes consultadas. Mesmo assim, a atualização deve ser priorizada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.