CVE-2026-40910: frp: bypass de autenticação no roteamento de vhost HTTP com controle de acesso por routeByHTTPUser

Visão geral

O frp é um proxy reverso rápido. Segundo o GitHub Security Advisory GHSA-pq96-pwvg-vrr9, as versões de 0.43.0 até 0.68.0, inclusive, contêm um bypass de autenticação no caminho de roteamento de vhost HTTP quando routeByHTTPUser é usado como parte do controle de acesso. A fraqueza é classificada como CWE-287 (Autenticação Inadequada).

Impacto

Um atacante que consegue alcançar o ponto de entrada de vhost HTTP e conhece ou consegue adivinhar o valor protegido de routeByHTTPUser pode alcançar um backend protegido por httpUser e httpPassword.
Segundo a descrição, isso pode ocorrer mesmo quando a senha em Proxy-Authorization está incorreta.
A pontuação CVSS base da NVD é 9.1, e o vetor da NVD indica alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade. O GitHub informa a pontuação 6.5.

Produtos e versões afetados

Produto: Fatedier Frp.
Faixa afetada: de 0.43.0 até 0.68.0, inclusive, conforme a descrição. Os dados de versão afetada usam como limite a versão anterior a 0.68.1.
Versão corrigida: 0.68.1, conforme a descrição.
Apenas implantações que usam explicitamente routeByHTTPUser são descritas como afetadas. O uso comum de proxy HTTP é descrito como não afetado.
O campo de correções do registro está vazio, por isso a versão corrigida foi obtida do texto da descrição e do aviso vinculado.

Status de exploração

O registro não mostra inclusão no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas.
O registro indica valor SSVC de exploração poc (prova de conceito) e marca a referência do aviso com a tag Exploit. Isso sugere que pode existir material de exploração público, mas não confirma exploração ativa.

Correção e mitigação

Atualize o frp para a versão 0.68.1 ou posterior em todas as implantações que usam routeByHTTPUser.
Até concluir a atualização, não dependa somente de routeByHTTPUser como controle de acesso para um backend protegido.
Restrinja a alcançabilidade de rede do ponto de entrada de vhost HTTP a redes confiáveis.
Se houver suspeita de exposição, troque as credenciais httpUser e httpPassword e revise o acesso aos backends protegidos.
Confirme a versão em execução após a atualização.

Orientações de detecção

Revise os logs de acesso do vhost HTTP em busca de requisições que contenham os cabeçalhos Proxy-Authorization e Authorization e que alcancem backends routeByHTTPUser.
Procure respostas bem-sucedidas de backends protegidos vindas de endereços de origem inesperados.
Correlacione falhas de autenticação no backend httpUser com acessos bem-sucedidos ao mesmo backend pelo caminho routeByHTTPUser.

Limitações das informações disponíveis

O registro não contém detalhes de prova de conceito, cronologia de exploração nem lista de ataques observados.
As pontuações CVSS diferem entre as fontes: NVD 9.1 e GitHub 6.5. O campo de severidade do registro é critical.
A entrada EPSS informa probabilidade 0.00395, percentil 0.32596 e data 2026-10-23. A data deve ser verificada antes de ser usada.
As medidas de mitigação acima são orientações defensivas gerais e não foram extraídas do registro.

Perguntas frequentes

Quais versões do frp são afetadas por este bypass de autenticação?

A descrição informa que as versões de 0.43.0 até 0.68.0, inclusive, são afetadas, e somente quando routeByHTTPUser é usado como parte do controle de acesso.

Há exploração conhecida deste problema na prática?

O registro não mostra inclusão no catálogo KEV da CISA e não indica exploração confirmada nas fontes consultadas. Ele mostra valor SSVC de exploração poc e uma tag Exploit na referência do aviso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.