CVE-2026-27965: Injeção de comando no Vitess via manifestos de backup adulterados

Visão geral

A CVE-2026-27965 afeta o Vitess, um sistema de agrupamento de bancos de dados para escalabilidade horizontal do MySQL. Segundo o aviso no GitHub e o registro, o problema envolve arquivos de manifesto de backup que podem ser modificados por quem tem acesso de leitura e escrita ao local de armazenamento dos backups, como um bucket S3. O registro classifica a fraqueza como injeção de comando no sistema operacional (CWE-78).

Impacto

O registro indica que um manifesto manipulado pode fazer com que código arbitrário seja executado na restauração do backup afetado.
O registro indica que isso pode dar ao atacante acesso não pretendido ou não autorizado ao ambiente de produção, incluindo informações disponíveis ali e a capacidade de executar comandos adicionais.
A pontuação base CVSS 3.1 do NVD é 9,9 (crítica). A pontuação do CNA do GitHub é 8,4 pelo CVSS 4.0. O impacto técnico do SSVC está registrado como total.

Produtos e versões afetados

Linuxfoundation Vitess: anteriores a 22.0.4, e da faixa a partir de 23.0.0 até antes de 23.0.3.
Vitessio Vitess: anteriores a 22.0.4, e da faixa a partir de 23.0.0 até antes de 23.0.3.
Correções nas versões 22.0.4 e 23.0.3, conforme o registro.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Não aparece exploração confirmada na natureza nas fontes consultadas.
O valor de exploração do SSVC está registrado como prova de conceito, e a probabilidade EPSS é de 0,704 por cento. Esses são indicadores de risco, não evidência de ataques.

Correção e mitigação

Atualize para 22.0.4 na linha 22.x, ou para 23.0.3 na linha 23.x, conforme indicado nas referências de correção.
Se a aplicação da correção não puder ser feita de imediato, o registro descreve uma medida de contorno: quando houver intenção de usar um descompressor externo, defina a flag --external-decompressor em vttablet e vtbackup com esse descompressor, o que sobrescreve valores do manifesto. Quando não houver intenção de usar descompressor, defina a flag com um valor inofensivo como cat ou tee.
Restrinja o acesso de escrita ao armazenamento de backups às identidades mínimas necessárias e trate esse armazenamento como fronteira de confiança.

Orientação para detecção

Audite operações de escrita e alterações de objetos nos locais de armazenamento de backups, especialmente nos arquivos de manifesto.
Revise a configuração de --external-decompressor em vttablet e vtbackup em busca de valores inesperados.
Monitore operações de restauração em busca de execução de processos inesperada ou de tráfego de saída incomum a partir de hosts de banco de dados.

Limitações das informações disponíveis

O registro não descreve os campos exatos do manifesto nem o caminho interno de código envolvido, e esta análise não acrescenta esses detalhes.
O registro não traz uma declaração específica sobre outras versões do Vitess fora das faixas listadas.
A entrada EPSS traz data de 2026-10-23, posterior à data de publicação, e seu significado deve ser verificado na fonte EPSS.
Não é possível determinar pelas fontes consultadas se algum ambiente já foi comprometido.

Perguntas frequentes

Quais versões do Vitess são afetadas pela CVE-2026-27965?

Segundo o registro, são afetadas as versões anteriores a 22.0.4 e a faixa a partir de 23.0.0 até antes de 23.0.3.

Há exploração ativa conhecida desta vulnerabilidade?

O catálogo KEV da CISA não lista esta CVE no registro, e não aparece exploração confirmada na natureza nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualize para 22.0.4 ou 23.0.3, conforme a linha de versão. Se isso não for possível de imediato, revise a configuração de --external-decompressor em vttablet e vtbackup como descrito no registro e restrinja o acesso de escrita ao armazenamento de backups.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.