CVE-2026-27478: Bypass de Validação do Emissor JWT no Unity Catalog que Permite Personificação de Usuários
A CVE-2026-27478 afeta o Unity Catalog até a versão 0.4.0 inclusive. O endpoint de troca de tokens usa a reivindicação iss de JWTs recebidos para decidir de onde buscar as chaves de assinatura, sem verificar se o emissor é confiável, o que o registro associa à personificação completa de usuários. O registro indica pontuação CVSS 9.1 (crítica) e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve um bypass de autenticação no endpoint de troca de tokens do Unity Catalog. O endpoint lê a reivindicação de emissor de um JWT recebido e a usa para buscar o endpoint JWKS usado na validação da assinatura, sem confirmar que o emissor é um provedor de identidade confiável. A fraqueza está classificada como CWE-290, Bypass de Autenticação por Falsificação.
Impacto
- O registro informa pontuação CVSS 9.1 (crítica), com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade.
- O título e o resumo do aviso indicam que o problema permite a personificação completa de usuários.
- O vetor do registro indica acessibilidade pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, portanto ambientes expostos são a principal preocupação.
Produtos e versões afetadas
- Produto: Unitycatalog Unitycatalog.
- Faixa afetada: até a versão 0.4.0 inclusive.
- O registro não informa nenhuma versão corrigida.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
- Não há exploração confirmada nas fontes consultadas.
- Os campos SSVC do registro indicam exploração como none e automatizável como yes. A probabilidade EPSS é 0.00239, com percentil 0.14199, conforme registrado.
Correção e mitigação
- Identifique implantações na versão 0.4.0 ou anterior e priorize a migração para uma release que o mantenedor documente como corrigida. O registro não nomeia uma.
- Consulte o aviso de segurança no GitHub para o status atual de correção e orientações.
- Até que a correção seja aplicada, restrinja o acesso de rede ao endpoint de troca de tokens apenas a clientes confiáveis.
- Trate como potencialmente não confiáveis os tokens emitidos por meio de implantações expostas até que o impacto seja avaliado.
Orientações de detecção
- Revise os logs de requisições ao endpoint de troca de tokens, especialmente as de origens inesperadas ou que envolvam emissores desconhecidos.
- Correlacione autenticações bem-sucedidas com atividades incomuns de usuários ou serviços no catálogo.
- Observe conexões de saída do serviço para endpoints de identidade ou de chaves externos inesperados, o que pode indicar obtenção de chaves a partir de emissores não confiáveis.
Limitações das informações disponíveis
- O registro não identifica uma versão corrigida nem um patch confirmado.
- O registro não descreve se algum ambiente foi comprometido.
- A data do EPSS no registro (2026-10-23) é posterior à data de publicação (2026-03-11), por isso os valores de EPSS devem ser interpretados com essa ressalva.
Perguntas frequentes
Quais versões do Unity Catalog são afetadas?
De acordo com o registro, são afetadas as versões até a 0.4.0 inclusive. O registro não informa uma versão corrigida.
O que a vulnerabilidade permite a um atacante?
O registro descreve um bypass de autenticação no endpoint de troca de tokens que permite a personificação completa de usuários, com alto impacto na confidencialidade e na integridade.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que esta CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.