CVE-2026-27574: OneUptime: escape do sandbox node:vm no probe leva a RCE
As versões 9.5.13 e anteriores do OneUptime executam monitores JavaScript personalizados dentro do módulo node:vm do Node.js, que a própria documentação indica não ser um mecanismo de segurança, permitindo que um usuário com permissão de criar monitores escape do sandbox e execute código no probe. O aviso afirma que o probe roda com rede do host e mantém credenciais do cluster, o que, segundo o aviso, permite comprometimento total do cluster; a falha é classificada como crítica e foi corrigida na versão 10.0.5. O CISA KEV não lista este CVE e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O OneUptime é uma plataforma de monitoramento e gerenciamento de serviços online. Segundo o aviso de segurança do GitHub, o recurso de monitor JavaScript personalizado executa código fornecido pelo usuário com o módulo node:vm do Node.js, que a documentação do Node.js descreve como não sendo um mecanismo de segurança. O aviso descreve o sandbox como passível de escape e classifica a fraqueza como CWE-94 (Injeção de Código).
Impacto
O aviso afirma que um escape bem-sucedido concede acesso total ao processo subjacente do probe. Também informa que o probe roda com rede do host e mantém credenciais do cluster em seu ambiente, concluindo que um atacante poderia comprometer totalmente o cluster. Como o aviso diz que a criação de monitores está disponível ao papel de projeto mais baixo e que o registro aberto vem habilitado por padrão, ele descreve o ataque como possível para um usuário anônimo em cerca de 30 segundos.
- Confidencialidade, integridade e disponibilidade são classificadas como altas no vetor CVSS.
- O aviso classifica a falha como crítica; as pontuações CVSS informadas são 9.9 e 10, dependendo da fonte.
Produtos e versões afetadas
- OneUptime, versões 9.5.13 e anteriores, conforme a descrição do aviso.
- O intervalo afetado no registro está listado como anterior à 10.0.5, sob dois nomes de produto (Hackerbay Oneuptime e OneUptime Oneuptime).
- A versão corrigida é a 10.0.5.
Status de exploração
O CISA KEV não lista este CVE. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A lista de referências do NVD inclui uma entrada marcada como Exploit, e o registro SSVC indica exploração como prova de conceito, o que sugere que pode existir material público de exploração, mas não comprova ataques ativos.
Correção e mitigação
- Atualize o OneUptime para a versão 10.0.5 ou posterior, que o registro identifica como a versão corrigida. O commit de correção consta nas referências.
- Se a atualização imediata não for possível, reduza a exposição desativando o registro aberto, limitando quem pode criar ou editar monitores personalizados e revisando as participações em projetos.
- Considere as credenciais acessíveis ao probe como expostas até que a rotação seja confirmada, e avalie a rotação dos segredos citados pelo aviso após a atualização.
- Isole os hosts de probe de redes internas sensíveis quando a implantação permitir, já que o aviso destaca a rede do host como fator agravante.
Orientações de detecção
- Revise os logs de registro de contas e os usuários ou participações de projeto criados recentemente, buscando atividade inesperada.
- Audite monitores JavaScript personalizados criados ou modificados recentemente, procurando código que não tenha sido escrito pela equipe de operações.
- Monitore os hosts de probe em busca de processos filhos inesperados, conexões de saída ou acesso a segredos de configuração, em nível geral.
Limitações das informações disponíveis
- O registro não informa a fronteira exata entre 9.5.13 e 10.0.5: a descrição diz 9.5.13 e anteriores, enquanto o intervalo afetado diz anterior à 10.0.5. As versões nessa lacuna não são tratadas pelas fontes consultadas.
- O registro não detalha quais implantações foram afetadas na prática nem se algum comprometimento foi observado.
- O conteúdo das referências de exploração não faz parte do registro, então sua disponibilidade e maturidade não podem ser avaliadas aqui.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O CISA KEV não lista este CVE e nenhuma exploração confirmada aparece nas fontes consultadas. As referências do NVD incluem uma entrada marcada como Exploit e o SSVC indica exploração como prova de conceito, mas isso não confirma ataques ativos.
Qual versão corrige o problema?
Segundo o registro, o problema foi corrigido na versão 10.0.5. As versões 9.5.13 e anteriores são descritas como afetadas.
O que os operadores podem fazer se não puderem atualizar imediatamente?
Reduzir a exposição desativando o registro aberto, limitando quem pode criar ou editar monitores personalizados, revisando as participações em projetos e tratando as credenciais do probe como expostas até a rotação. A atualização para 10.0.5 continua sendo a principal correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.