CVE-2026-27626: Injeção de comando do SO no OliveTin via argumentos password e JSON de webhook
O OliveTin apresenta dois vetores independentes de injeção de comando do sistema operacional que contornam a verificação de segurança do modo shell, um pelo tipo de argumento password e outro por valores JSON extraídos de webhooks. Segundo o registro, os dois vetores combinados permitem execução remota de código não autenticada em instâncias que usam modo Shell com ações acionadas por webhook. No momento da publicação não havia versão corrigida, e o CISA KEV não lista a CVE.
Visão geral
O OliveTin oferece acesso a comandos de shell predefinidos por meio de uma interface web. O registro descreve dois vetores independentes que contornam a verificação de segurança do modo shell: o tipo de argumento password e valores extraídos de JSON de webhooks antes de chegarem ao shell.
Impacto
Segundo o registro, um usuário autenticado que explore o primeiro vetor pode executar comandos arbitrários no sistema operacional do host do OliveTin, com as permissões do processo do OliveTin. Pelo segundo vetor, um atacante não autenticado pode obter o mesmo resultado quando a instância recebe webhooks de fontes externas. Combinados, os vetores resultam, segundo o registro, em execução remota de código sem autenticação em instâncias que usam modo Shell com ações acionadas por webhook. A fraqueza é classificada como CWE-78, injeção de comando do sistema operacional.
Produtos e versões afetadas
- Produto: OliveTin (Olivetin Olivetin no registro).
- Afetadas: até e incluindo 3000.10.0.
- Versão corrigida: nenhuma listada no registro. O registro informa que não havia versão corrigida disponível no momento da publicação.
Status de exploração
O CISA KEV não lista esta CVE, por isso não há exploração ativa confirmada nas fontes consultadas. O registro SSVC marca a exploração como poc, o que indica atividade de prova de conceito. A probabilidade EPSS é 0.00728, com percentil 0.53705. A referência do aviso está marcada como Exploit, então a priorização é recomendada sem tratar isso como confirmação de ataques.
Correção e mitigação
- Restrinja o acesso à interface web do OliveTin e não a exponha a redes não confiáveis.
- Desative o registro aberto e use um modo de autenticação diferente de none, quando possível.
- Limite as fontes de webhook a remetentes confiáveis e revise quais ações os webhooks podem acionar.
- Evite o modo Shell para ações que recebam entradas externas ou fornecidas por usuários, quando houver alternativas.
- Execute o processo do OliveTin com privilégios mínimos.
- Acompanhe o aviso de segurança do GitHub e atualize assim que houver uma versão corrigida publicada.
Orientações de detecção
- Revise os logs do OliveTin em busca de execuções envolvendo argumentos do tipo password ou caracteres especiais incomuns em parâmetros, em nível geral.
- Monitore processos filhos inesperados iniciados pela conta de serviço do OliveTin.
- Audite as execuções acionadas por webhook e os endereços de origem que as iniciaram.
Limitações das informações disponíveis
O registro não informa versão corrigida, detalhes de correção nem informações sobre implantações específicas. A data do EPSS no registro é 2026-10-23, que deve ser verificada na fonte. Esta análise se baseia no registro e nas referências citadas, e o texto completo do aviso não foi revisado diretamente.
Perguntas frequentes
Quais versões do OliveTin são afetadas?
O registro lista como afetadas as versões até e incluindo 3000.10.0. Nenhuma versão corrigida aparece nas fontes, e o registro informa que não havia versão corrigida disponível no momento da publicação.
Esta vulnerabilidade está sendo explorada ativamente?
O CISA KEV não lista esta CVE, por isso não há exploração ativa confirmada nas fontes consultadas. O registro SSVC marca a exploração como poc, o que indica atividade de prova de conceito.
O que os defensores podem fazer agora?
Restringir o acesso à interface web, desativar o registro aberto, limitar as fontes de webhook a remetentes confiáveis, evitar o modo Shell quando houver alternativas, executar o processo com privilégios mínimos e atualizar quando houver correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.