CVE-2026-11746: centraldogma-server com segredo padrão embutido na replicação ZooKeeper
Versões do centraldogma-server anteriores à 0.84.0 usam automaticamente um segredo fixo e de conhecimento público quando a replicação ZooKeeper está habilitada sem replication.secret. Segundo o registro, um atacante com acesso à rede poderia ler o log de replicação ou entrar no quórum para executar comandos replicados. O CNA classifica como crítica, com pontuação CVSS 4.0 de 9.4, e o registro não mostra inclusão no catálogo KEV.
Visão geral
Uma vulnerabilidade no centraldogma-server afeta versões anteriores à 0.84.0 quando a replicação ZooKeeper está habilitada sem a definição de replication.secret. Nessa configuração, o servidor usa silenciosamente um segredo fixo no código, de conhecimento público, para autenticar o ensemble ZooKeeper embutido.
Impacto
- Um atacante com acesso à rede do serviço afetado poderia ler o log de replicação completo.
- O mesmo atacante poderia entrar no quórum e executar comandos replicados arbitrários em todo o cluster.
- O CNA classifica o problema como crítico, com pontuação base CVSS 4.0 de 9.4, o que indica alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- centraldogma-server em versões anteriores à 0.84.0, quando a replicação ZooKeeper está habilitada e replication.secret não foi definido.
- O registro não contém entradas estruturadas de versões afetadas ou corrigidas, por isso o escopo exato deve ser confirmado no aviso de segurança do GitHub.
Status de exploração
- O registro mostra que esta CVE não está listada no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
- O registro não contém dados de EPSS.
Correção e mitigação
- Planeje a atualização do centraldogma-server para a versão 0.84.0 ou posterior. Essa recomendação é inferida do limite superior da faixa afetada, pois o registro não descreve explicitamente a versão corrigida.
- Enquanto a atualização não for possível, defina um valor único e forte para replication.secret sempre que a replicação ZooKeeper estiver habilitada, evitando que o servidor recorra ao segredo padrão.
- Restrinja o acesso de rede às portas de replicação ZooKeeper, permitindo apenas membros confiáveis do cluster.
- Verifique se algum ambiente executou com replicação habilitada e sem segredo personalizado, e trate esses ambientes como expostos até a correção.
Orientações de detecção
- Revise arquivos de configuração e manifestos de implantação em busca de replicação ZooKeeper habilitada sem uma entrada replication.secret.
- Monitore o tráfego para as portas ZooKeeper embutidas em busca de conexões de hosts que não sejam membros conhecidos do cluster.
- Após atualizar ou alterar a configuração, confirme que cada cluster usa um segredo de replicação personalizado.
Limitações das informações disponíveis
- O registro não fornece dados estruturados de versão corrigida nem detalhes além do limite antes da 0.84.0.
- O registro não traz informações sobre exploração em campo além do status no KEV.
- O campo source_status está definido como Deferred, e o registro não explica o significado disso.
- Números de porta, comportamento padrão em outras versões e a possibilidade de logs ou configurações expor o segredo não são informados no registro.
Perguntas frequentes
Esta CVE está sendo explorada na prática?
O registro indica que ela não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
O que os administradores devem fazer primeiro?
Identifique implantações com replicação ZooKeeper habilitada, defina um valor único para replication.secret e planeje a atualização para a versão 0.84.0 ou posterior.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.