CVE-2026-41283: OpenStack Mistral: Autorização Incorreta Levando a Execução Remota de Código

Visão geral

O registro descreve uma falha no OpenStack Mistral até a versão 22.0.0 em que determinados endpoints permitem execução de código, e a API pode ser acessada remotamente quando está exposta. A fraqueza é classificada como Autorização Incorreta (CWE-863). As informações vêm do registro da CVE e das referências listadas abaixo.

Impacto

A execução remota arbitrária de código é apontada como a principal consequência.
A descrição indica que isso pode levar à exfiltração de credenciais de serviço.
O registro classifica o problema como crítico, com pontuação CVSS base de 9,9 e um vetor que indica alto impacto em confidencialidade, integridade e disponibilidade.
Os dados SSVC do registro indicam exploração como none, automatizável como no e impacto técnico como total.

Produtos e versões afetados

O registro lista o OpenStack Mistral com intervalos de 20.0.0 até antes de 20.1.1, a versão 21.0.0 e a versão 22.0.0.
A descrição se refere às versões até 22.0.0.
O registro não contém versão corrigida. Isso não significa que não exista correção; consulte o aviso do fornecedor e os registros de acompanhamento da Red Hat para orientação atual.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Não há exploração confirmada nas fontes consultadas.
O EPSS do registro indica probabilidade de 0,00915 e percentil de 0,59781.

Remediação e mitigação

Restrinja a exposição de rede da API do Mistral a redes de gestão confiáveis até que uma versão corrigida seja confirmada para o seu ambiente.
Revise o aviso do fornecedor OSSA-2026-020 e a página da CVE na Red Hat para identificar builds afetados e versões corrigidas.
Aplique a atualização fornecida pelo fabricante após confirmá-la para a sua linha de versão.
Se houver suspeita de exposição, revise e renove as credenciais de serviço acessíveis pelo serviço Mistral.

Orientação para detecção

Analise os logs de acesso à API em busca de requisições a endpoints do Mistral vindas de origens inesperadas ou não confiáveis.
Monitore atividades de execução inesperadas e o uso incomum de contas de serviço associadas ao serviço Mistral.
Correlacione eventos de autenticação com alterações de configuração do serviço para identificar possível uso indevido.

Limitações das informações disponíveis

O registro não tem versão corrigida nem detalhes do catálogo KEV, e o campo de título está vazio; por isso, o título foi escrito a partir do produto e da classe da fraqueza.
Não se sabe se implantações padrão expõem a API.
Os endpoints exatos, pré-condições e escopo da falha não são descritos no registro.
O aviso e as páginas da Red Hat são referenciados, mas seu conteúdo não foi analisado aqui.

Perguntas frequentes

Esta CVE foi confirmada como explorada na natureza?

Não. O registro indica que a CVE não está no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

Quais versões do OpenStack Mistral são listadas como afetadas?

O registro lista de 20.0.0 até antes de 20.1.1, a versão 21.0.0 e a versão 22.0.0. Não há versão corrigida listada, por isso consulte o aviso do fornecedor para orientação atual.

O que os administradores devem fazer agora?

Limite a exposição da API do Mistral a redes confiáveis, acompanhe o aviso do fornecedor para versões corrigidas e revise as credenciais de serviço caso haja suspeita de exposição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.