CVE-2026-106037: Ausência de autenticação no serviço REST Store do Mooncake
O Mooncake até 0.3.13.post1 apresenta falha de ausência de autenticação (CWE-306) no serviço REST Store, que escuta em 0.0.0.0 sem autenticação em qualquer rota. A VulnCheck atribui pontuação base CVSS de 9.8, e o registro não lista versão corrigida. As fontes consultadas não mostram exploração confirmada na natureza, mas recomenda-se restringir a exposição de rede e adicionar autenticação até que exista correção oficial.
Visão geral
O Mooncake até 0.3.13.post1 expõe seu serviço REST Store em 0.0.0.0 sem exigir autenticação em nenhuma rota. A fraqueza é classificada como CWE-306, ausência de autenticação para função crítica. A descrição do registro afirma que chamadores não autenticados podem alcançar diversas rotas que leem, gravam, removem e montam dados em cache.
Impacto
- Confidencialidade: segundo o registro, dados KV em cache, incluindo prompts de usuários, podem ser lidos.
- Integridade: segundo o registro, objetos podem ser injetados ou removidos e segmentos descritos pelo atacante podem ser montados.
- Disponibilidade: a pontuação 9.8 da VulnCheck reflete impacto alto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Kvcache-ai Mooncake até 0.3.13.post1, conforme listado no registro.
- O endereço de vinculação 0.0.0.0 significa que o serviço escuta em todas as interfaces de rede, salvo restrição por configuração ou firewall do host.
- Não é possível saber, a partir do registro, se versões posteriores são afetadas.
Status de exploração
O CISA KEV não lista este CVE, portanto essa fonte não confirma exploração ativa. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O campo SSVC de exploração do registro está definido como prova de conceito, e o registro indica que o problema é automatizável.
Correção e mitigação
- O registro não lista versão corrigida. A ausência de correção no registro não prova que ela não exista, então consulte o repositório do projeto e o rastreador de issues para atualizações.
- Até que uma correção oficial seja confirmada, restrinja o acesso ao serviço REST Store com firewalls de host e de rede e vincule-o apenas a interfaces confiáveis.
- Coloque o serviço atrás de um gateway autenticado ou limite-o a clientes internos confiáveis.
- Verifique se o serviço é alcançável a partir de redes não confiáveis, incluindo ambientes de nuvem e contêineres.
Orientações de detecção
- Inventarie os hosts com Mooncake até 0.3.13.post1 e identifique aqueles em que o serviço REST Store escuta em todas as interfaces.
- Revise registros de rede em busca de conexões de entrada inesperadas à porta do serviço, vindas de origens que não deveriam usá-lo.
- Monitore alterações inesperadas em objetos em cache ou segmentos montados como sinal de uso indevido.
Limitações das informações disponíveis
- O registro não lista versão corrigida, portanto o status de correção é desconhecido.
- O registro não informa se o problema foi explorado, além da ausência de inclusão no KEV.
- O status da fonte é Deferred, portanto os detalhes podem mudar durante a revisão do registro.
- Detalhes do código vulnerável estão na descrição técnica e no aviso da VulnCheck.
Perguntas frequentes
Qual é o problema central deste CVE?
O serviço REST Store do Mooncake até 0.3.13.post1 se vincula a 0.0.0.0 e não exige autenticação em nenhuma rota, classificado como CWE-306.
Existe versão corrigida?
O registro não lista nenhuma versão corrigida. Essa informação é desconhecida, então consulte o repositório do projeto e o rastreador de issues para atualizações.
Este CVE é conhecido por ser explorado na natureza?
O CISA KEV não lista este CVE, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.