CVE-2026-1568: Rapid7 InsightVM: autenticação inadequada no tratamento de asserções ACS
Versões do Rapid7 InsightVM anteriores à 8.34.0 aparentemente não verificam a assinatura de asserções recebidas no endpoint em nuvem do Assertion Consumer Service (ACS), o que, segundo o registro, poderia permitir a tomada de contas configuradas em instalações do Security Console. O CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.6. A descrição indica que o problema foi corrigido na versão 8.34.0, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma fraqueza na verificação de assinatura do Rapid7 InsightVM no endpoint em nuvem do Assertion Consumer Service (ACS). A falha é classificada como Autenticação Inadequada (CWE-287) e foi publicada em 03/02/2026.
Impacto
- Segundo o registro, um atacante poderia obter acesso não autorizado a contas do InsightVM configuradas por meio de instalações do Security Console, resultando em tomada de controle total da conta.
- De acordo com o registro, a aplicação processa asserções não assinadas e emite cookies de sessão que concedem acesso às contas de usuário visadas.
- A pontuação base CVSS 3.1 atribuída pelo CNA é 9.6, com vetor de rede, baixa complexidade, baixo privilégio exigido, sem interação do usuário, escopo alterado e alto impacto em confidencialidade e integridade. O impacto na disponibilidade é listado como nulo.
Produtos e versões afetadas
- Produto: Rapid7 InsightVM.
- Versões afetadas conforme a descrição: versões anteriores à 8.34.0.
- O registro não traz uma lista estruturada de versões afetadas nem um limite inferior.
- Versão corrigida informada na descrição: 8.34.0.
Status de exploração
- A entrada no catálogo KEV da CISA consta como não listada no registro, portanto esta análise não afirma exploração ativa.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- O registro não traz pontuação EPSS.
Correção e mitigação
- Atualize o InsightVM para a versão 8.34.0 ou superior, identificada na descrição como a versão corrigida.
- Consulte as notas de versão da Rapid7 para contexto de atualização: Notas de versão do Rapid7 Command Platform.
- Até concluir a atualização, restrinja quem pode acessar as instalações do Security Console e revise as contas acessadas pela integração ACS.
Orientações de detecção
- Revise logs de autenticação e de sessão das contas de usuário do InsightVM, procurando sessões sem um evento de login legítimo correspondente.
- Correlacione eventos de asserção do provedor de identidade com a criação de sessões no console para identificar anomalias.
- Monitore atividade de contas a partir de origens desconhecidas ou em horários incomuns.
Limitações das informações disponíveis
- O registro não inclui um aviso do fabricante com detalhes técnicos sobre a verificação de assinatura ou as configurações de implantação afetadas.
- Não está informado se o endpoint em nuvem exigia ação do cliente além da atualização do produto.
- Não é possível saber se a falha foi explorada fora das fontes consultadas.
Perguntas frequentes
Quais versões do InsightVM são afetadas pelo CVE-2026-1568?
A descrição indica que versões anteriores à 8.34.0 são afetadas. O registro não traz uma lista estruturada de versões afetadas nem um limite inferior.
Qual versão corrige o CVE-2026-1568?
A descrição informa que o problema foi corrigido na versão 8.34.0 do InsightVM.
O CVE-2026-1568 é conhecido por ser explorado ativamente?
A entrada no catálogo KEV da CISA não consta como listada no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.